This page has been robot translated, sorry for typos if any. Original content here.

Umgehen und Hacken einer Firewall oder Hacking im Internet



  • [1. Einleitung]
  • [2. Detektionsprinzip]
  • [3. Bypass-Prinzip]
  • [4. Zusammenfassung]


  • [1. Einleitung]

    Viele Artikel, die die Prinzipien der Umgehung von Firewalls beschreiben, beschreiben nicht die Hauptsache!
    Wie kann ich sie finden ... In diesem Artikel werde ich versuchen, nachzuholen
    Diese Lücke und erzählen Sie sofort über zwei Prinzipien: das Prinzip der Erkennung und
    Firewall ...
    Also lass uns gehen ...

    [2. Detektionsprinzip]


    Wie Sie vielleicht erwarten, hat jede Firewall ihren eigenen Namen, dh sie hat ein gewisses "Stigma".
    Netzwerk, ich. einige Firewalls öffnen spets. ein Hafen, an dem Sie herausfinden können
    Version, Name und andere interessante Informationen. Wenn Sie eine Firewall finden, müssen Sie es sein
    sehr aufmerksam und nichts mit deinen Augen zu verpassen. In der Tat, die Erkennung einer Firewall
    in mehrere Stufen unterteilt ... Dies ist ein Trivial-Scan, es verfolgt die Routen,
    Lesen von Service-Bannern, etc. Über jeden Punkt der Entdeckung, werde ich versuchen zu erzählen
    mehr. Ich möchte auch sagen, dass es eine Reihe von Specials gibt. Dienstprogramme das
    sehr gut mit der Erkennung von Firewalls helfen ... Ich werde auch mehr über sie versuchen
    zu erzählen.

    Also, es ist Zeit, mehr über die Prinzipien der Erkennung zu lernen.


    A. Triviales Scannen

    Ich hoffe, dass viele von euch die Netzwerk-Ports von jeder IP-Adresse eingescannt haben ... Jeder Dienst
    Es gibt einen eindeutigen Port, ob es ftp (21), http (80), ssh (22) usw. ist, passierte nicht
    Firewalls, aber nicht alle ... Sofort werde ich sagen, dass nicht alle Firewalls auf den Port hören. Sicherlich
    getarnt als Dämonen wie Port 23 (sie hängen normalerweise am Cisco Router oder daran
    Sie sind nett). Ich gebe Ihnen eine Liste von Ports, an denen die Firewalls manchmal hängen bleiben
    Standard Jerries:
    Anwendung: Port:
    cisco-manager (mgmt) 4001 (6001, 2001)
    checkpoint DNS (53udp/tcp) RIP (520udp)
    cisco-xremotesrv 9001
    wingate 8080, 81
    realsecure 2998/2997/2999
    Dies ist wahrscheinlich die bisher gebräuchlichste Firewall.
    Bei der Verbindung mit den oben beschriebenen Ports ist es daher möglich, eine Service Banner Firewall in Betracht zu ziehen.
    Aber nochmal, ich wiederhole das nicht immer! Ich werde auch sagen, dass eine richtig konfigurierte Firewall ist
    Lass dich nicht die Ports in "Massen" scannen, d. H. Sie können die Adresse bei ska nicht scannen
    mehr als ein Port ... Dann ist wirklich die Aufgabe des Angreifers kompliziert und der
    Es gibt einige Möglichkeiten zu scannen (ob von der Quelladresse gescannt wird).
    Ich möchte nur sagen, dass einige Firewalls so konfiguriert sind, dass das interne Netzwerk
    Der Zugriff ist allen Personen mit Ausnahme ihres eigenen internen Netzwerks, d. Du kannst den Ports nicht beitreten,
    die von der Firewall gefiltert werden, wenn Sie nicht zu einem internen Hosting-Netzwerk gehören oder
    ein lokales Netzwerk ... Es gibt nicht viele Möglichkeiten, solche Schutzmaßnahmen zu umgehen. Ich werde nur eines sagen
    Methoden zum Scannen "hinter der Firewall" wurde von dem bekannten ehemaligen Herausgeber der Zeitschrift erfunden
    Phrack - Route. Sein Dienstprogramm FireWalk kann Ports wie hinter einer Firewall scannen. Aber
    In diesem Fall müssen Sie sich auch nicht auf 100% verlassen, damit die Ports korrekt gescannt werden.
    Viele Firewalls sind so konfiguriert, dass die Firewall die TLL des davor liegenden Pakets ermitteln kann
    sein (auf der Liste nachsehen). Daher werden Pakete vom ICMP-Typ, die vor dem Ablauf der TLL warnen, sein
    auf jeden Fall ...

    Gehen Sie nun zum Punkt über das Verfolgen der Route des Pakets durch das Netzwerk ...

    B. Nachverfolgung

    Viele hoffe ich, angesichts eines Programms wie Tracert oder Traceroute, so sage ich, was dann?
    Diese Programme können die Route des Pakets über das Netzwerk verfolgen ...

    In WIN32-Systemen das Dienstprogramm tracert.exe und in Unix Wie Systeme - traceroute.

    Sehen wir uns ein Beispiel für die Weiterleitung eines Pakets zur Identifizierung einer Firewall im Pfad eines Proxys an
    Unser udp / icmp Paket:

    Route zu 168.75.176.102
    mit einer maximalen Anzahl von Sprüngen von 30:

    1 * 4366 ms * Loopback0.GW8.ALA2.nursat.net [195.82.29.53]
    2 3373 ms * 4287 ms Ethernet0-0-2.GW1.ALA2.nursat.net [195.82.28.7]
    3 * 4463 ms * Serial6-1.GW2.MOW1.nursat.net [195.82.28.198]
    4 * * * Превышен интервал ожидания для запроса.
    5 * * * Превышен интервал ожидания для запроса.
    6 * * * Превышен интервал ожидания для запроса.
    7 * * * Превышен интервал ожидания для запроса.
    8 2274 ms 971 ms 958 ms so-2-3-1-zar1.skt.cw.net [166.63.220.69]
    9 928 ms 945 ms 958 ms ge-3-3-0-ycr1.skt.cw.net [166.63.220.129]
    10 954 ms 958 ms * so-1-0-0-ycr1.cpi.cw.net [208.173.216.25]
    11 958 ms 958 ms 971 ms so-2-0-0-ycr2.cpi.cw.net [208.173.216.2]
    12 981 ms 958 ms 958 ms so-2-0-0-bcr1.amd.cw.net [208.173.211.233]
    13 1059 ms 1050 ms 1049 ms dcr1.nyk.cw.net [195.2.1.3]
    14 1050 ms 1037 ms 1036 ms 65.59.192.13
    15 1041 ms 1050 ms 1063 ms ge-0-3-0.bbr2.NewYork1.Level3.net [209.247.9.209]
    16 1050 ms 1036 ms 1076 ms ge-7-0-0.edge1.NewYork1.Level3.net [64.159.4.150]
    17 1050 ms 1063 ms 1050 ms xo-level3-oc12.NewYork1.Level3.net [209.244.160.178]
    18 1050 ms 1062 ms 1076 ms p5-0-0.RAR1.NYC-NY.us.xo.net [65.106.3.37]
    19 1115 ms 1523 ms 1757 ms p6-0-0.RAR2.Chicago-IL.us.xo.net [65.106.0.29]
    20 1324 ms 1471 ms 1324 ms p1-0-0.RAR1.Dallas-TX.us.xo.net [65.106.0.34]
    21 1141 ms 1141 ms 1141 ms p6-0-0.RAR2.LA-CA.us.xo.net [65.106.0.14]
    22 1732 ms 1377 ms 1456 ms p4-0-0.MAR2.LasVegas-NV.us.xo.net [65.106.5.34]
    23 1155 ms 1141 ms 1128 ms p15-0.CHR1.LasVegas-NV.us.xo.net [207.88.81.78]
    24 1404 ms 1181 ms * 66.238.47.34.ptr.us.xo.net [66.238.47.34]
    25 1614 ms 1378 ms 1378 ms 168.75.176.102

    Ablaufverfolgung abgeschlossen.

    Im obigen Beispiel wird die Struktur des Pakets, das durch das Netzwerk läuft, sehr deutlich angezeigt.
    Wir können davon ausgehen, dass die Firewall eine bestimmte Kette von Adressen erzeugt, durch die unsere
    Paket ... In der Spur auf den Sprüngen 1-3 sehen Sie, dass der Einwahlserver einleitet
    Pakete, dann wird das Paket über das Netzwerk über die Adresskette gesendet ... Im Finale
    Schließlich können Sie sehen, dass unser Paket zum Ziel kommt - 168.75.176.102 ... In diesem
    Ich kann sagen, dass es wahrscheinlicher ist, dass die Firewall 66.238.47.34 ist, obwohl 100%
    Ich gebe die Ergebnisse nicht, tk. in diesem Fall müssen Sie sehr vorsichtig sein ...

    C. Service-Banner lesen.

    Nun, diese Methode ist meiner Meinung nach sehr einfach, obwohl es im Moment äußerst schwierig ist, ein solches Feuer zu finden
    ein Wolf, der Informationen über sich selbst abgeleitet hätte, aber wieder, "was der Teufel nicht witzelt" ... Lesen
    Wenn Sie eine Verbindung zur Firewall herstellen, erhalten Sie eine Nachricht
    von einer Remote-Firewall ... Dh. bei Verbindung, zum Beispiel 295 (Port CheckPoint Firewall),
    Sie erhalten Informationen über die Version der Firewall, dann können Sie mit Sicherheit gehen
    in Bugraq Schwachstelle in dieser Firewall, am häufigsten, wenn ich auf Firewalls stieß
    CheckPoint, ich habe ein paar Informationen bekommen, zuerst habe ich sie überhaupt nicht verstanden
    bedeutet ... Und es besteht, dass Sie, wenn Sie eine Verbindung mit der Firewall CheckPoint herstellen
    führt eine bestimmte Zahlenfolge, zum Beispiel: 30003, 30002 usw. Wie später habe ich das gelernt
    Dies ist typisch für Firewall CheckPoint ...

    Nun, in der Tat die am meisten verbreiteten Weisen der Aufspürung der feindlichen Brandmauer ... Jetzt
    Ich möchte Ihnen ein paar Wege erklären, die erkannte Firewall zu umgehen ...
    Also, lass uns gehen ...

    [3. Bypass-Prinzip]


    Wir beginnen mit der Tatsache, dass jede Firewall so konfiguriert ist, dass sie die von Ihnen verwendeten Pakete filtert
    Sie senden es, wenn Sie eine Verbindung zu einem beliebigen Anschluss auf dem Remotecomputer herstellen. Und das passiert auf den Wespen
    erstellte Firewallregeln. Ie. Wenn sie verbunden sind, liest die Firewall das Paket und eine Ana
    lysiert alle Daten ... Dh. Wenn sich Ihre Adresse nicht in der Basis der Firewall befindet, wird die Firewall nicht fehlen
    Sie in das interne Netzwerk ... Viele Möglichkeiten der Umgehung der Firewall kommen in den Sinn. Zuerst, bitte
    lui der einfachste Weg, um zu umgehen, ist es, das Firewall-Subnetz zu scannen, um angreifbare Ma zu finden
    Reifen und das anschließende Brechen von ihnen ... Ich werde auch sagen, dass diese Methode nicht immer rollt, weil ho
    Ein großer Administrator wird höchstwahrscheinlich nicht das gesamte Subnetz betreten dürfen, sondern
    wird die Erlaubnis für ausgewählte Netzwerkgeräte erteilen ...

    Es gibt noch einen anderen sehr interessanten Weg: Tunneling ICMP / UDP-Pakete ... Es schließt
    In einigen Firewalls gibt es keine Regel zum Blockieren von ICMP ECHO, ICMP ECHO REPLY,
    UDP. All dies trägt zu einem guten Angriff bei ... Ich werde die Geschichte erzählen, dass diese Methode besteht, wenn Sie finden
    Feuer im Subnetz der Firewall. Um es zu implementieren, benötigen Sie zwei Programme: loki, lokid
    (Dämon). Um den Angriff auszuführen, sollten Sie den Daemon hinter der Firewall und danach installieren
    Mit dem Loki-Dienstprogramm ...

    [4. Zusammenfassung]


    Die Schlussfolgerung kann man machen - es gibt nichts perfektes! In jedem Gerät, Programm und
    usw. es gibt immer Möglichkeiten, es in jeder Hinsicht zu durchbrechen, herumzukommen und so weiter. Natürlich, in diesem Artikel
    Es gibt nicht alle Möglichkeiten, Firewalls zu umgehen ... Es gibt viele Möglichkeiten ... Als hundert
    Es gibt neue Wege, neue Wege zu gehen ...