Обходим файрволлы!

Xakep, номер #041, стр. 041-060-4

FIREWALK поддерживает следующие опции:

-h - помощь

-i - указать интерфейс

-n - не резольвить IP в имя хоста

-o - записать все в файл

-P - пауза

-p tcp/udp - использовать заданный протокол

-S - диапазон сканирования

-T - timeout

-s - исходный порт (хорошенько подумайте, что писать)

-t - IP TTL

-v - версия проги

Как видишь, опций довольно много. Пример:

firewalk -ofirewalk.log -S135-139 -pTCP 2.2.2.2

Полезные линки:

www.packetfactory.net/fiewalk - firewalk

www.foundstone.org - создатели Fpipe

packetstormsecurity.nl/Exploit_Code_Archive/datapipe.c - DATAPIPE

www.boutell.com/rinetd/index.html - Rinetd

packetstormsecurity.org/crypt/LIBS/loki/loki-3.0.tar.gz - LOKI

Как найти нестандартные открытые порты

Для выявления незарегистрированных открытых портов, которые часто могут использоваться при редиректе, поможет netstat:

WINDOWS

C:\>netstat -an

Активные подключения

Имя Локальный адрес Внешний адрес Состояние

TCP 0.0.0.0:1027 0.0.0.0:0 LISTENING

TCP 0.0.0.0:1368 0.0.0.0:0 LISTENING

TCP 0.0.0.0:15000 0.0.0.0:0 LISTENING

TCP 169.254.178.206:53 169.254.178.200:23 ESTABLISHED

TCP 169.254.178.206:139 0.0.0.0:0 LISTENING

UDP 169.254.178.206:137 *:*

UDP 169.254.178.206:138 *:*

UDP 169.254.178.206:500 *:*

Это был запущен FPIPE на 15000 порт.

UNIX

root@slack:~# netstat -an

Active Internet connections (servers and established)

Proto Recv-Q Send-Q Local Address Foreign Address State

tcp 0 0 169.254.178.200:1026 169.254.178.200:113 TIME_WAIT

tcp 0 0 169.254.178.200:23 169.254.178.200:1025 ESTABLISHED

tcp 0 0 169.254.178.200:1025 169.254.178.200:23 ESTABLISHED

tcp 0 0 169.254.178.200:15000 169.254.178.206:1369 ESTABLISHED

tcp 0 0 169.254.178.200:15000 0.0.0.0:* LISTEN

udp 0 0 0.0.0.0:512 0.0.0.0:*

udp 0 0 0.0.0.0:37 0.0.0.0:*

Это был запущен RINETD на 15000 порт.

Чтобы избавиться от LOKI, достаточно запретить прохождение ICMP пакетов через брандмауэр. А конкретно это echo и echo-reply. Или воспользоваться специальной утилитой для контроля ICMP траффика (например, IMON - http://packetstormsecurity.org/UNIX/IDS/icmp-0.9.tar.gz).

Полезные статьи:

http://www.void.ru/content/684 - ОБНАРУЖЕНИЕ АТАКИ ПРИ ПОМОЩИ ФАЙРВОЛА

http://www.lib.ru/SECURITY/ - Computer Security и firewall'ы