Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• "source routed frames" enthalten im Header den Weg, den das Paket auf
dem Weg durch das Internet nehmen soll. Vielfach ist es so möglich, Sperren
zu umgehen ohne Log-Events auszulösen.
• Der bekannte OOB-BUG ist auf eine zweideutige Interpretation des URG-
Flags der ursprünglichen RFC 793 und der "neuen" RFC 1122
zurückzuführen. (Microsoft mal wieder)
• Spoofing, also das vortäuschen einer internen Adresse auf einem externen
Interface ist eine noch häufig unterschätzte Möglichkeit, geringfügige Fehler
in einer Firewall auszunutzen.
• MBONE Paket-Kapselung erfordert eine besonders sorgfältige Auswahl und
Konfiguration der Firewall, da viele Filteroptionen in einigen Firewall-Routern
nicht angeboten werden. Das betrifft sowohl gekapselte AppleTalk, IP-, oder
IPX-Pakete.
• Paketkapselung von IP-Paketen in ICMP führte bei der NAI Firewall 5.0 zu
einem DoS Attack.
• Angriff über eine große Zahl von Fragmenten, um die Zahl der Netzwerkbuffer
zu erschöpfen, bevor die Reassemblierung ausgeführt wird. Hierbei kann
durch Vortäuschung einer langsamen Verbindung die Verweildauer in vielen
Stacks erhöht werden, wobei die Performance stark leidet.
• Angriff mit einem Zufallszahlengenerator. Es werden hierbei ausschließlich
die Prüfsumme, Länge und das IP-Offsetfeld korrekt gesetzt. Dieser Angriff
führt zu einer großen Zahl von Warnmeldungen in der Firewall, da hierbei
keinerlei Wiederholungen vorkommen. Lücken, die die Firewall nicht abdeckt,
weil sie Stateful Packet Filter-Architektur besitzt, führen dann leicht zu einem
erfolgreichen DoS auf dem Server dahinter. Gerade die als besonders schnell
getesteten Firewalls versagen hierbei oft. Fehlerhafte Netzwerkkarten oder
Routersoftware, manchmal auch Kernel selber, erzeugen im Netz ähnliche
Pakete. Unerklärliche, nicht reproduzierbare Phänomene und viel
Zeitaufwand sind nötig, um den Störenfried ausfindig zu machen. Besser ist
es jedoch, man verzichtet gleich auf empfindliche Server, Drucker und
Desktop-Betriebssysteme.
• Angriffe 1-10 und ihre Untervarianten lassen sich darüber hinaus auch noch
(zufällig) miteinander kombinieren. Die Zahl der möglichen Varianten ist sehr
hoch, die Zahl der sinnvollen Varianten beschränkt sich auf ca. 130 Stück.
Firewalls mit dynamischen Regeln werden hierbei hart beansprucht und bis
an die Leistungsgrenze strapaziert. Hierbei treten DoS-Phänomene auf, die
von vielen Firewall-Testern/Zertifizierern nicht getestet werden können.
Wie erzeuge ich DoS Pakete ?
Nun, das ist eine berechtigte Frage. Hierzu müssen Sie zunächst ROOT Zugriff auf einen
UNIX Server haben. Dann steht es Ihnen frei, dies entweder nach den Beispielen
bekannter EXPLOITS von z.B. http://www.rootshell.com nach zu programmieren. RAW
Sockets unter C sind aber nicht jedermanns/fraus Sache. In PERL mit dem Toolkit
net::rawip ist das viel, viel einfacher zu realisieren. Sie finden das Toolkit hier
http://quake.skif.net/RawIP/, oder auf Sergey Kolchev's Homepage in der Ukraine,
http://www.ic.al.lg.ua/~ksv/. Hier nur ein paar Beispiele. Sie brauchen diese nur in ein
Verzeichnis zu kopieren, mit chmod u+x .... die Executable Rechte zu vergeben - und
können sofort einen Angriff starten (aber bitte aussschließlich nur auf Server im
Intranet....diese Angriffe können nämlich von vielen Routern/Firewalls entdeckt werden)
Falls Sie hierzu irgendwelche Fragen haben, es gibt auch eine ausführliche FAQ dazu, wo
alle Anfängerfragen erläutert werden, darunter auch diejenige, wie ich mit diesem Toolkit
gespoofte IP-Pakete erzeuge, bei denen die Absendeadresse gefälscht ist. Aber Vorsicht,
viele Provider können Spoofing bestimmter IP-Nummernbereiche erkennen, andere leider
nicht....
Erstellt von Doc Gonzo - http://kickme.to/plugins