Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Angreifer in den Datenstrom, der aus dem Internet über die Firewall zu einem Host strömt,
evtl. eigene Pakete einschleusen kann. Das hängt dann davon ab, welche Auswirkungen
auf das Client Programm dies hätte.
Wie kann er zusätzliche Pakete einschleusen ? Kennt der Angreifer Portnummern und
IP Nummern der beteiligten Partner, so kann er Portnummer und IP Nummer spoofen, und
diese Pakete an die Firewall senden. Diese würde die Pakete akzeptieren, und an den
Host im Netzwerk weiterleiten.
Die Firewall verhindert doch spoofing ! Wie kann das sein ? Die Firewall kann nur
innere von äußeren Adressen unterscheiden, d.h. wenn ein Paket mit der IP - Nummer
aus dem Intranet direkt auf das äußere Gateway trifft, dann ist offensichtlich etwas falsch
und des wird geblockt. Die Firewall kann aber nicht feststellen, ob Pakete aus dem
Internet alle authentisch sind, also ein Paket auch tatsächlich von dem angegebenen Host
stammt.
Wir halten fest: UDP ist nur dann unsichererer als TCP, wenn:
• Client und Ziel keine UDP Prüfsummen erstellen
• Spoofing im Internet bzw. außerhalb der Firewall möglich ist
• Ein Angreifer auf dem Zielhost direkt Daten manipulieren kann
Wie könnte also ein Angreifer mit UDP Unheil stiften ?
Ein solcher Angriff ist komplexer, als man denkt, aber einfach zu zeigen. Wer mit einem
älteren Netscape oder IE Browser animierte GIF Bilder betrachtet, der wird bemerken, daß
hier GIF Bilder schnell hintereinander angezeigt werden. Problematisch wird dies erst
dann, wenn das Format der Bilder plötzlich größer wird. Der intern vom Browser
reservierte Speicherplatz für die Animation reicht dann plötzlich nicht mehr aus. Ist das
Bild genügend groß, werden eventuell wichtige Bereiche im RAM der Arbeitsstation
überschrieben. Ein sogenannter schwerer Ausnahmefehler (wo da die Ausnahme ist,
weiß wahrscheinlich Microsoft selber nicht) tritt auf. In den meisten Fällen ist dieses
Problem mit einem Absturz verbunden. Wird jedoch die Bytefolge im GIF Bild so gewählt,
daß sich ein sinnvolles Programm dahinter verstecken kann, dann kann der Angreifer
hierüber auf der Arbeitsstation beliebige Programme starten. Diesen Effekt nennt man
buffer overflow und ist im Prinzip bei allen Protokollen, TCP sowie UDP möglich. Hier
wurde der Effekt anhand einer GIF Animation aufgezeigt, dieser Effekt kann aber auch bei
(REAL)VIDEO Sequenzen, DNS Paketen, NFS oder RPC Paketen o.ä. auftreten. Gelingt
es einem Angreifer also, in einen UDP Datenstrom mit gespooften Paketen eigene Daten
einzuschleusen, dann kann er viel Unheil anstiften. Aus diesem Grunde ist bei RPC, NFS,
DNS - Datenpaketen immer große Vorsicht angebracht. Ohne spezialisierte PROXY´s
sollte man diese Pakete von einer Firewall tunlichst nicht transportieren lassen.
9.12 Protokolle und Dienste
Zuerst sollte erklärt werden, was ein Dienst, und was ein Protokoll ist. Dienste werden
unter UNIX in der Datei /etc/inetd.conf beschrieben. Hier wird festgelegt, welche Dienste
die UNIX Maschine anbietet, und welche Programme gestartet werden müssen. Schauen
wir uns die Datei einmal genauer an:
#
#ftp stream tcp nowait root /usr/sbin/tcpd wu.ftpd -a
ftp stream tcp nowait root /usr/sbin/tcpd proftpd
# ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd
# smtp stream tcp nowait root /usr/sbin/sendmail sendmail -bs
# tftp dgram udp wait nobody /usr/sbin/tcpd in.tftpd /tftpboot
# netbios-ssn stream tcp nowait root /usr/sbin/smbd smbd -l \
/var/log/samba -s /etc/smb.conf
Erstellt von Doc Gonzo - http://kickme.to/plugins