Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Welche anderen Informationen hätte der Angreifer erhalten können ?
HTTP_USER_AGENT = Mozilla/4.06 [de]C-QXW0310E (WinNT; I)
HTTP_ACCEPT = image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, image/png,
*/*
HTTP_ACCEPT_ENCODING = gzip
Es hätte sich nichts geändert, der o.a. Angriff wäre auch so erfolgreich gewesen, Trotz
des Einsatzes von NT. Netscape 4.06 hätte wegen eines BUGS in JAVASCRIPT es dem
Angreifer ermöglicht, den CACHE auszulesen, um festzustellen, wohin der Mitarbeiter
gerne "surft". Ein neuer Angriff, hier die Daten:
REMOTE_ADDR = 195.211.212.134
REMOTE_HOST = 195.211.212.134
HTTP_USER_AGENT = Microsoft Internet Explorer
HTTP_ACCEPT = image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, image/png,
*/*
HTTP_ACCEPT_ENCODING = gzip
HTTP_ACCEPT_CHARSET = iso-8859-1,*,utf-8
HTTP_X_FORWARDED_FOR = 192.168.99.5
HTTP_VIA = 1.0 fv-router.firma.de:8080 (Squid/2.1.RELEASE)
Was liest ein Angreifer hieraus ? Im Gegensatz zur vorgergehenden Netzwerkanbindung
ist hier der Systemadministrator offensichtlich sehr engagiert und viel erfahrener in
Netzwerktechnik. Woran sieht man das ? HTTP_USER_AGENT = Microsoft Internet
Explorer ist eine Irreführung des Squid 2.1 über die verwendeten Browser im Netz. Die
Information HTTP_X_FORWARDED_FOR zeigt, daß hier auf einem LINUX-Router
(wahrscheinlich S.u.S.E 5.3 oder 6.0 mit den Firewall und Masquerading - Regeln
installiert wurde. Es muß ein Systemadministrator sein, der sich hervorragend mit UNIX
auskennt, da er Squid 2.1 neu kompiliert und installiert hat. Weiterhin kennt sich dieser gut
im Routing aus, da er die 192.168.x.x Netzwerkadresse im Intranet verwendet, welche per
Definition nicht in das Internet geroutet wird, er setzt Masquerading (also NAT) ein. Im
Gegensatz zu dem ersten Beispiel besitzt diese Firma keine Anbindung über eine feste IP
- Nummer, sondern benutzt einen preiswerten Account mit SYNC-PPP, d.h., das sich die
IP - Nummer von mal zu mal ändert. Ein Scan des Class-C Netzes zeigt, daß nur ca. 30 IP
- Nummern in Frage kommen. Falls der Angreifer also diesen LINUX-Router wiederfinden
möchte, muß er ständig diese 30 IP - Nummern auf das Vorhandensein von Port 8080
scannen, was sich evtl. etwas Zeit kosten würde, oder dem Systemadminitrator eine E-
Mail schicken, die ihn veranlaßt, eine bestimmte Seite im Internet zu besuchen. Hier wird
er dann "getrappt", also ihm eine Falle gestellt. Die sieht folgendermaßen aus: Es besucht
jemand die WWW-Seite. Der WWW-Server erzeugt einen Eintrag in das "access_log" File.
Dieses File wird mit "tail -f access_log|grep 195.211.212" (UNIX oder NT+UNIX Toolkits)
ständig abgefragt. Tritt ein "Event" auf, so wird automatisch ein "ping 195.211.212.xxx (mit
der vom "Event" übergebenen IP-Adresse) ausgeführt. Das ist von jedem Anfänger zu
bewältigen und eignet sich hervorragend auch für riesige Netze, wie z.B. der Telekom mit
Millionen von IP - Nummern oder großen Firmen, wie Siemens, DEBIS, Daimler.....Duch
den "ping" wird die ISDN-Leitung des Routers offengehalten, zwecks Untersuchung. Er
kann auch sicher sein, daß er das richtige Opfer gefunden hat, da sonst niemand diese
bestimmte WWW-Seite kennt. Der Angreifer kann also in Ruhe irgendwann in der Nacht
den Server untersuchen. Ein Scan wird zeigen, daß hier keinerlei Port offen ist. Da diese
Firma so, wegen der dynamischen IP - Nummer und wegen der völlig geschlossenen
Ports keine E-Mail erhalten würde, muß also ein Programm die E-Mail aktiv in das
Netzwerk holen, aber wie und von wo ? Eine kurze Abfrage des MX - Eintrages dieser
Firma XY mit nslookup zeigt, daß die E-Mail auf einem Außenserver gelagert wird. Es ist
zu vermuten, daß zu bestimmten Zeiten E-Mail geholt und gesendet wird, dieses
Verfahren dient der Vermeidung von Telefonkosten.
Erstellt von Doc Gonzo - http://kickme.to/plugins