Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

geschehen ist. Der Upload von geeigneten Werkzeugen, wenn ein Einbruch bereits
erfolgreich war, ist ein Kinderspiel.
23.13 DNS-Sicherheit und Entführung von E-Mails
Bei Angriffen auf Server im Intranet spielt die Sicherheit von DNS-Servern eine wichtige
Rolle. Is dieser z.B. veraltet so ist es einem Angreifer möglich, diesem ungefragt neue
Zuordnungen von IP-Numer zu DNS-Namen einzuimpfen. Diese enthalten darüberhin aus
auch Informationen über Mail - Exchange - Server (MX-Einträge) für den Austausch von
E-Mail intern und extern. Impft man nun IP - Nummern von Servern aus dem Internet ein,
so verschwinden alle E-Mails über die Firewall in das Internet. Eugene Kashpureff z.B. hat
mit diesem Trick tausende Domains in der Welt auf "www.alternic.com" umgeleitet,
inclusive deren E-Mails. Auch Siemens Nixdorf ist von einem solchen Effekt betroffen
gewesen (und noch betroffen). Ein Umleiten von E-Mails ist somit leider mancherortens
immer noch möglich, und zudem auch noch völlig unauffällig durchführbar, obwohl dieses
Problem seit 1994 bekannt ist. Im Jahre 1998 sind Fa. Siemens auf diese Weise
mindestens 9 Gigabyte E-Mails aus dem internen Netzwerk entführt worden.
23.14 Firewalls für Verbindungen von außen mit FTP öffnen
Ein lokaler User verbindet sich über anonymous ftp zu einem remote FTP-Server (Port
21). Um eine Datei zu übertragen, wählt der Client des Users zunächst einen beliebigen
TCP-Port, an dem er die Datei erwartet. Der Client sendet ein PORT-Kommando, um
diese Wahl dem Server mitzuteilen. Der Server antwortet, indem er eine aktive TCP-
Verbindung zu dem angegebenen Host öffnet und die Datei versendet. Ist das Netz des
Clients durch eine Firewall geschützt, so wird die Datenübertragung fehlschlagen, da der
Server ja einen von der Firewall geschützten, internen Port öffnen möchte. Eine Firewall
untersucht die Daten nach einem speziellen PORT - Befehl. Hat die Firewall diesen
entdeckt, so läßt sie eine Verbindung zwischen Remote Host und internem Client zu, da
die Anfrage für eine solche Verbindung ja vom internen Client kam. Ist diese Verbindung
erst hergestellt, so kann sie beliebig lange bestehen bleiben. Öffnet ein bösartiger interner
Nutzer eine FTP-Verbindung nach außen und gibt an, die Datei auf Port 23 (dem Telnet-
Port) oder einem beliebigen anderen zu erwarten, so kann der Remote Host eine Telnet-
Verbindung zum Client erstellen. Dieser Angriff läßt sich mittels Java/Avtive-X/ VBSkript
auch von externen Angreifern ausführen und gehört zu den erfolgreichsten Angriffen
überhaupt. Es ist eine fehlerhafte Implementierung des PASV - Mechanismus in einem
FTP-PROXY unter der sehr viele Firewall - Proxy´s leiden. Es ermöglicht den Aufbau
eines Tunnels durch die Firewall hindurch, um z.B. Server im Intranet fernzusteuern, oder
Daten zu entführen.
23.15 Veränderungen an Adreßbüchern für E-Mail
Viele E-Mail Clients (Lotus, P-Mail, Exchange, Netscape.....) besitzen ein veränderbares
Adreßbuch, welches teils von Usern selber oder unternehmensweit von Adminsitratoren
gepflegt wird. Angreifer interessieren sich für solche Adreßbücher, vor allem, wenn sie den
ganzen Kundenstamm enthalten. Es ist z.B. möglich, sich als Nichtkunde auf eine
hausinterne Mailingliste zu setzen und so viel über das Unternehmen selber und seine
Mitarbeiter zu erfahren.
23.16 Beschreibung von Back Orifice, genannt BO
BO ist ein Werkzeug zur Fernadministration eines Servers oder einer Arbeitsstation.
Voraussetzung ist, daß das Serverprogramm irgendwie so in den Startmechanismus
eingebunden ist, daß es jedesmal BO startet. BO arbeitet nicht wie ein Virus, sondern
muß remote installiert werden. Hier muß der Angreifer R/W - Zugriff auf die Festplatte C:
des Rechners (Windows 95/98/NT) bekommen. Am meisten waren in der Vergangenheit
Rechner betroffen, die via Modem oder ISDN sich direkt in das Internet eingewählt haben,
und gleichzeitig Ihre Festplatte allgemein via NetBIOS (over TCP/IP oder IPX) freigegeben
Erstellt von Doc Gonzo - http://kickme.to/plugins