Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Abschaltung aller benötigten Dienste
Um Interaktionen vorzubeugen, werden erst alle benötigten Dienste vorübergehend
deaktiviert. Der Grund liegt in den möglichen Interaktionen zwischen den Diensten, die zu
Fehlern und neuen Problemen führen können. Es ist oft auch nicht klar, welcher Dienst auf
welche Datei des Filesystems zugreift.
Anschaltung eines jeden Dienstes separat für sich
Nun wird ein Dienst nach dem anderen aktiviert und untersucht. Von Interesse sind
folgende Informationen:
Auflistung des Befehlssatzes des Dienstes
Um herauszufinden, welche Befehle ein Dienst einem Client zur Verfügung stellt und mit
welchen Parametern diese aufgerufen werden können, ist es notwendig, sich zuerst die
Dokumentation en in den RFC´s zu besorgen. Hier sind üblicherweise alle
Kommunikationsprotokolle dokumentiert. Da es in der Praxis immer Unterschiede im
Befehlssatz gibt, sollte man sich auch stets die originalen Dokumente des Herstellers
durchlesen. Der Befehl HELP in einigen Dämonen (MAIL, FTP...) ist nicht als Referenz zu
betrachten. Da es oft vom Hersteller nicht dokumentierte Befehle gibt, die nicht in den
Referenzhandbüchern stehen, ist unbedingt auch der Quellcode mit heranzuziehen. Mit
viel Aufwand lassen sich auch mit Hilfe eines einfachen HEX-Editors versteckte Befehle in
Binaries entdecken.
Überprüfung , welche Befehle gebraucht werden
Nun muß überprüft werden, welche Befehle dieses Dienstes /Dämons wirklich gebraucht
werden, und welche nicht. Es sind unbedingt alle nicht benutzten oder entbehrlichen
Befehle zu entfernen, da mit jedem weiteren Befehl die Zahl der zu überprüfenden
Kombinationsmöglichkeiten quadratisch ansteigt.
Abschaltung aller unwichtigen Befehle
Nun können aus dem Quellcode Befehle und Routinen entfernt werden. Es ist eine
Neukompilierung erforderlich. Liegt der Quellcode nicht vor, so lassen sich mit Hilfe des
HEX- Editors diejenigen Befehle mit Zufallszahlen überschreiben. Dies ist aber bestenfalls
nur als Notlösung zu betrachten.
Test auf buffer overflows der verbleibenen Befehle
Nun müssen die verbleibenden Befehle auf mögliche buffer overflows überprüft werden.
Hierzu reicht z.B. netcat oder socket unter UNIX, um einen Befehl mit überlangen
Parametern an den Dämon oder das Dienstprogramm zu übergeben. Man sollte dann das
Verhalten des Dämons bzw. des Systems beobachten. Gewöhnlich findet dann eine
Verletzung des Speicherschutzes statt, oder es gibt Ausfälle bei Funktionen in Kernel oder
anderen Diensten. Tritt auch bei einer massiven Bombardierung keine besonderen
Fehlermeldungen (außer Syntax Error) oder anderen Effekte auf, so ist dieser Befehl ohne
Gefahr einsetzbar. Bei Speicherschutzverletzungen oder coredump ist das
Dienstprogramm verletzbar und somit nicht sicher. Während dieses Angriffs ist mit einem
Debugger stets zu überprüfen, welche Betriebssystem - Routinen benutzt werden, und ob
sich der Fehler nicht eventuell im Kernel oder in den Bibliotheken (libraries, DLL´s)
befindet. Sollte dies der Fall sein, so ist der Quellcode des Betriebssystems bzw. der
Bibliotheken betroffen. Da meist auch weitere getestete oder zu testende Dienste
betroffen sind, lohnt es sich, diese Probleme sofort zu korrigieren. Mitprotokolliert werden
muß auch, auf welche Files oder weitere Programme /Dienste /Dämonen der getestete
Dämon zugreift bzw. zugegriffen hat. Hierzu gehören auch die shared libraries, die zur
Erstellt von Doc Gonzo - http://kickme.to/plugins