Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Was würde ein Angreifer unternehmen, um in dieses Netzwerk vorzudringen ? Im Prinzip
würde auch der o.a. Angriff funktionieren, es ist aber mit etwas höherem Widerstand bei
einem Angriff von innen her zu rechnen. Z.B. würde ein erfahrener Administrator einen
SSH-Client benutzen, oder via WWW-Interface (Webmin) oder SSL den Server
administrieren. Normale Useraccounts könnten für telnet deaktiviert sein, sodaß ein
Einloggen unmöglich ist. Paßworte würden in diesem Falle nur über Port 110 übertragen,
mit Sicherheit werden es unverschlüsselte Paßworte sein. Genau hier wird also ein
Netzwerksniffer ansetzen (z.B. BO). Da bei neueren LINUX - Versionen POP3 gut
gesichert ist, bleibt nur noch ein Angriff über PORTMAP, MOUNTD, INETD....HTTP von
innen heraus übrig. Dem Angriff müsste also ein Security- Scan des Gateways von innen
vorausgehen. Ein Blick auf "BUGRAQ" verrät schon einige Exploits, die in S.u.S.E. LINUX
5.3 und 6.0 (aber auch anderen Distributionen) noch nicht aktuell gepatcht sein können,
es sei denn, der Systemadministrator hat diese Sicherheitsprobleme beseitigt. Die
Wahrscheinlichkeit, von Innen heraus einen erfolgreichen "exploit" zu starten, ist relativ
hoch. Nachteil ist, daß dieser auf Windows 95/98 oder NT portiert werden muß. Dank der
neuen Winsock 2.0+ ist dies kein Problem mehr, der Aufwand, ein Programm, welches
"RAW sockets" anspricht, ist gering. Der SSH, MOUNTD oder SAMBA - »exploit« würde
mit hoher Wahrscheinlichkeit erfolgreich sein, vorausgesetzt, daß der Router als
Fileserver und E-Mailserver eingesetzt wird. Ist zudem noch X-Windows installiert (was bei
LINUX - Routern meistens so ist), ist auch hier ein großes Sicherheitsloch gegeben. Da
aber Angriffe auf Applikationsebene (Tetris....) gut funktionieren, besteht ein Anlaß, sich
weiter Gedanken zu machen.
Der Einsatz von SQUID auf dem Router (Firewall??) hat es überhaupt erst ermöglicht, daß
der Angreifer in Kenntnis der internen IP - Nummer kam, um den Angriff besser
vorbereiten zu können. Ohne SQUID, also nur als Router mit Masquerading installiert,
ergeben sich geringfügig andere Informationen, die der Angreifer nutzen kann:
HTTP_USER_AGENT = Mozilla/4.0 (compatible; MSIE 4.0; Windows 95)
HTTP_ACCEPT = image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/v
nd.ms-excel, application/msword, application/vnd.ms-powerpoint, */*
Ohne SQUID kommt der Angreifer in Besitz von Informationen über viele
Anwendungsprogramme, welche auf der Arbeitsstation installiert sind. Powerpoint, Excel
und Winword sind Programme, die VBasic als Programmiersprache nutzen, mit allen
Möglichkeiten, die ein VC++ Programm auch besitzt. Man könnte also ein Programm
(Netzwerkscanner, Keyboard- Sniffer) in ein Makro einbauen, und dem arglosen
Mitarbeiter als WinWord/Excel/Powerpoint-Datei senden. Diese Angriffe sind noch nicht
beschrieben worden......kommt noch....:) Die Tatsache, daß MSIE 4.0 und Windows 95
eingesetzt wird, erleichtert die Suche nach funktionierenden "exploits".
Analyse eines TIS-FWTK und Firewall-1
Die Informationen:
REMOTE_HOST = 195.99.32.6
HTTP_USER_AGENT = Mozilla/4.0 (compatible; MSIE 4.0; Windows 95)
HTTP_ACCEPT = image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/vnd.ms-excel, application/msword, application/vnd.ms-powerpoint, */*
Für einen Angriff sind die Informationen etwas mager, daher lassen wir uns eine E-Mail
aus dem Netzwerk senden:
Received: by ns.nobbelazzo.com (8.8.4/8.6.12) id PAA00634; Wed, 6 Jan 1999
15:18:19
+0100 (MET) Message-Id:
Erstellt von Doc Gonzo - http://kickme.to/plugins