stateful firewall issues (Was Re: Think Simple!)

[Giorgos Keramidas]

On 2006-09-18 11:19, zakinthinos at freemail.gr wrote:
> 
> > On 2006-09-09 10:17, george <zakinthinos at freemail.gr> wrote:
> > > δηλαδη το σεναριο καποιος να πειραξει τον apache του σε επιπεδο κωδικα
> > > ωστε σε συγκεκριμενη χρονικη στιγμη να κανει inject ενα πακετακι με
> > > καλο "payload" (κατι σαν το hangup string ενος modem) που θα κανει τα
> > > iptables σενια δεν παιζει ?
> > 
> > Να το γράψω στα Γερμανικά, γιατί στα Ελληνικά δεν δείχνεις να το
> > καταλαβαίνεις...
> > 
> > 
> > 				N E I N
> > 
> > 
> http://www.mail-archive.com/debian-firewall@lists.debian.org/msg07856.html
> http://www.mail-archive.com/debian-firewall@lists.debian.org/msg07849.html
> (εδω ειναι η αρχη του thread)
> http://iptables-tutorial.frozentux.net/chunkyhtml/x6231.html
> http://iptables-tutorial.frozentux.net/chunkyhtml/x6193.html
> 
> δεν ισχυριζομαι οτι τα καταλαβαινω απολυτα, αλλα τα παραπανω για τετοια
> "state" bugs δεν μιλανε ?

Οχι μιλάνε για την κανονική συμπεριφορά ενός firewall οόπως τα iptables
ΜΟΝΟ ΑΝ ΕΧΕΙΣ ΣΤΗΣΕΙ ΣΥΓΚΕΚΡΙΜΕΝΟ patch ΚΑΙ ΜΟΝΟ ΑΝ ΕΙΣΑΙ ΑΡΚΕΤΑ ΜΑΛΑΚΑΣ
ΝΑ ΑΝΕΒΑΣΕΙΣ ΤΟ ip_conntrack_tcp_loose ΠΑΝΩ ΑΠΟ 1.

Ακόμα και τότε, το TCP stack θα απαντήσει με τον κανονικό τρόπο που
απαντάει ένα TCP stack που πέρνει 'out of sequence' πακέτα, και θα ρίξει
στη μάπα του επίδοξου 'h4x0r kid' ένα πανέμορφο και λαχταριστό RST.

> > > το πακετο αυτο εφοσον θα ειναι μεσα στο stream δεν
> > > θα εχει σωστο sequence number ?
> > 
> > Ξέρεις τι κάνει ένα kernel και το TCP stack του όταν πάρει το "επόμενο"
> > πακέτο, που είναι εκτός sequence; Αν όχι, βρες τα βιβλία του Stebens,
> > και πιο συγκεκριμένα το "TCP/IP Illustrated, Volume 1: The Protocols".
> 
> ειμαι λαικος τυπος (και πεισμων ε ?) και δεν εχω να πληρωσω τα 30 euro
> στην βιβλιοθηκη της πατρας..... :)

Εγώ δε φταίω τίποτα γι αυτό.  Σου είπα τι μπορείς να διαβάσεις για να
μάθεις πως δουλεύει το TCP.  Δε θες να το κάνεις, για οποιοδήποτε
λόγο...  Πρόβλημά σου.

Κι εγώ λαϊκός τύπος είμαι.  Κι εγώ δούλευα σε γνωστή εταιρεία της Πάτρας
που δεν πλήρωνε καθόλου καλά.  Κι εγώ δεν πήγα διακοπές εκείνα τα
Χριστούγεννα, αλλά με τα λίγα λεφτά που αποταμίευσα όπως όπως πήγα και
πήρα τα 2 πρώτα βιβλία του Stevens.  Η γνώση δεν αποκτιέται πάντα
εύκολα.  Και λοιπόν;