Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Angreifer in den Datenstrom, der aus dem Internet über die <strong>Firewall</strong> zu einem Host strömt,<br />
evtl. eigene Pakete einschleusen kann. Das hängt dann davon ab, welche Auswirkungen<br />
auf das Client Programm dies hätte.<br />
Wie kann er zusätzliche Pakete einschleusen ? Kennt der Angreifer Portnummern <strong>und</strong><br />
IP Nummern der beteiligten Partner, so kann er Portnummer <strong>und</strong> IP Nummer spoofen, <strong>und</strong><br />
diese Pakete an die <strong>Firewall</strong> senden. Diese würde die Pakete akzeptieren, <strong>und</strong> an den<br />
Host im Netzwerk weiterleiten.<br />
Die <strong>Firewall</strong> verhindert doch spoofing ! Wie kann das sein ? Die <strong>Firewall</strong> kann nur<br />
innere von äußeren Adressen unterscheiden, d.h. wenn ein Paket mit der IP - Nummer<br />
aus dem Intranet direkt auf das äußere Gateway trifft, dann ist offensichtlich etwas falsch<br />
<strong>und</strong> des wird geblockt. Die <strong>Firewall</strong> kann aber nicht feststellen, ob Pakete aus dem<br />
Internet alle authentisch sind, also ein Paket auch tatsächlich von dem angegebenen Host<br />
stammt.<br />
Wir halten fest: UDP ist nur dann unsichererer als TCP, wenn:<br />
• Client <strong>und</strong> Ziel keine UDP Prüfsummen erstellen<br />
• Spoofing im Internet bzw. außerhalb der <strong>Firewall</strong> möglich ist<br />
• Ein Angreifer auf dem Zielhost direkt Daten manipulieren kann<br />
Wie könnte also ein Angreifer mit UDP Unheil stiften ?<br />
Ein solcher Angriff ist komplexer, als man denkt, aber einfach zu zeigen. Wer mit einem<br />
älteren Netscape oder IE Browser animierte GIF Bilder betrachtet, der wird bemerken, daß<br />
hier GIF Bilder schnell hintereinander angezeigt werden. Problematisch wird dies erst<br />
dann, wenn das Format der Bilder plötzlich größer wird. Der intern vom Browser<br />
reservierte Speicherplatz <strong>für</strong> die Animation reicht dann plötzlich nicht mehr aus. Ist das<br />
Bild genügend groß, werden eventuell wichtige Bereiche im RAM der Arbeitsstation<br />
überschrieben. Ein sogenannter schwerer Ausnahmefehler (wo da die Ausnahme ist,<br />
weiß wahrscheinlich Microsoft selber nicht) tritt auf. In den meisten Fällen ist dieses<br />
Problem mit einem Absturz verb<strong>und</strong>en. Wird jedoch die Bytefolge im GIF Bild so gewählt,<br />
daß sich ein sinnvolles Programm dahinter verstecken kann, dann kann der Angreifer<br />
hierüber auf der Arbeitsstation beliebige Programme starten. Diesen Effekt nennt man<br />
buffer overflow <strong>und</strong> ist im Prinzip bei allen Protokollen, TCP sowie UDP möglich. Hier<br />
wurde der Effekt anhand einer GIF Animation aufgezeigt, dieser Effekt kann aber auch bei<br />
(REAL)VIDEO Sequenzen, DNS Paketen, NFS oder RPC Paketen o.ä. auftreten. Gelingt<br />
es einem Angreifer also, in einen UDP Datenstrom mit gespooften Paketen eigene Daten<br />
einzuschleusen, dann kann er viel Unheil anstiften. Aus diesem Gr<strong>und</strong>e ist bei RPC, NFS,<br />
DNS - Datenpaketen immer große Vorsicht angebracht. Ohne spezialisierte PROXY´s<br />
sollte man diese Pakete von einer <strong>Firewall</strong> tunlichst nicht transportieren lassen.<br />
9.12 Protokolle <strong>und</strong> Dienste<br />
Zuerst sollte erklärt werden, was ein Dienst, <strong>und</strong> was ein Protokoll ist. Dienste werden<br />
unter UNIX in der Datei /etc/inetd.conf beschrieben. Hier wird festgelegt, welche Dienste<br />
die UNIX Maschine anbietet, <strong>und</strong> welche Programme gestartet werden müssen. Schauen<br />
wir uns die Datei einmal genauer an:<br />
# <br />
#ftp stream tcp nowait root /usr/sbin/tcpd wu.ftpd -a<br />
ftp stream tcp nowait root /usr/sbin/tcpd proftpd<br />
# ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd<br />
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd<br />
# smtp stream tcp nowait root /usr/sbin/sendmail sendmail -bs<br />
# tftp dgram udp wait nobody /usr/sbin/tcpd in.tftpd /tftpboot<br />
# netbios-ssn stream tcp nowait root /usr/sbin/smbd smbd -l \<br />
/var/log/samba -s /etc/smb.conf<br />
Erstellt von Doc Gonzo - http://kickme.to/plugins