Есть роутер на freebsd 6.0-stable, нат и файроволл посредством pf.
Есть задача: оградить внутрение машины на win xp pro sp2 от passive OS fingerprinting, или подделать под отпечаток freebsd.пример:
http://lcamtuf.coredump.cx/p0f-help/из winxp:
a.b.c.d:52441 - Windows 2000 SP4, XP SP1+ (firewall!) Signature: [65535:112:0:48:M1460,N,N,S:.] -> 213.134.128.25:80 (distance 12, link: ethernet/modem)из freebsd:
a.b.c.d:63157 - FreeBSD 6-current [FUZZY] (up: 7137 hrs) Signature: [65535:112:0:64:M1460,N,W1,N,N,T,S,E:P] -> 213.134.128.25:80 (link: ethernet/modem)# Fingerprint entry format:
#
# wwww:ttt:D:ss:OOO...:oS:Version:Subtype:Details
# wwww - window size (can be *, %nnn, Snn or Tnn). The special values
# "S" and "T" which are a multiple of MSS or a multiple of MTU
# respectively.
# ttt - initial TTL
# D - don't fragment bit (0 - not set, 1 - set)
# ss - overall SYN packet size
# OOO - option value and order specification (see below)
# OS - OS genre (Linux, Solaris, Windows)
# Version - OS Version (2.0.27 on x86, etc)
# Subtype - OS subtype or patchlevel (SP3, lo0)
# details - Generic OS details
Я так понимаю нужно на роутере устроить перехват всех пакетов и насильно менять заголовки, вот только как конкретно это осуществить? С ttl и mss справляется scrub в pf, но как быть с остальными отпечатками?
>Есть роутер на freebsd 6.0-stable, нат и файроволл посредством pf.
>Есть задача: оградить внутрение машины на win xp pro sp2 от passive
>OS fingerprinting, или подделать под отпечаток freebsd.
>Если это внутренние машины за NAT, то они снаружи в принципе видны быть не могут.
От внутреннего сканирования в пределах локальной сети маршрутизатор не защитит.Задача некорректна ?
>Если это внутренние машины за NAT, то они снаружи в принципе видны
>быть не могут.
Говорю же, пассивный метод обнаружения!
>От внутреннего сканирования в пределах локальной сети маршрутизатор не защитит.
>
>Задача некорректна ?ради собственного интереса зайдите на http://lcamtuf.coredump.cx/p0f-help/ с машины за натом, а лучше с двух машин, с разными ОС.
возможно более корректно будет озвучить задачу как "защита машин за натом от подсчёта их количества методом пассивного анализирования пакетов провайдером, не только по timestamps, ttl, mss."
You are using a proxy! Read the note below.
Your system is recognized as:1.2.3.4:35322 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 12327 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
P0f did not recognize your system. We would really appreciate if you could tell us more about the system using the form below. Thanks!
будет происходить определение только прокси
да и это не факт
>You are using a proxy! Read the note below.
>Your system is recognized as:
>
>1.2.3.4:35322 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 12327 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
>
>P0f did not recognize your system. We would really appreciate if you
>could tell us more about the system using the form below.
>Thanks!
>
>
>будет происходить определение только прокси
>да и это не факт
прокси для меня не подходит, нужно именно изменение пакетов проходящих через роутер.
будет происходить определение пакетов рутера
>будет происходить определение пакетов рутера
^>Есть задача: оградить внутрение машины на win xp pro sp2 от passive OS fingerprinting, или подделать под отпечаток freebsd.Пусть будет роутер определяется, и все пакеты идущие через него с машин за натом модифицироваться по одному одному подобию. Но решения из ряда "сделать прозрачное прокирования каждого порта" не подходят.
такой травы ещё не было.
обычный ipnat
>такой травы ещё не было.
>обычный ipnatутверждаете что ipnat будет менять то что ниже?
# ss - overall SYN packet size
# OOO - option value and order specification (see below)
# OS - OS genre (Linux, Solaris, Windows)
# Version - OS Version (2.0.27 on x86, etc)
# Subtype - OS subtype or patchlevel (SP3, lo0)
# details - Generic OS details
разве это не говорит:You are using a proxy! Read the note below.
Your system is recognized as:1.2.3.4:35322 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 12327 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
P0f did not recognize your system. We would really appreciate if you could tell us more about the system using the form below. Thanks!
>разве это не говорит:
>
>You are using a proxy! Read the note below.
>Your system is recognized as:
>
>1.2.3.4:35322 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 12327 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
>
>P0f did not recognize your system. We would really appreciate if you
>could tell us more about the system using the form below.
>Thanks!
будьте добры, для полноты предоставьте пример с другой машины за натом, с отличной операционной системой.
a.b.c.d:59640 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 1249 hrs) -> 213.134.128.25:80 (link: ethernet/modem)a.b.c.d:59967 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 1249 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
хп и фря. проверил с десяток своих шлюзов. 4х, 6х. оси всякие.
>a.b.c.d:59640 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 1249 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
>
>a.b.c.d:59967 - UNKNOWN [65535:58:1:64:M1460,N,W0,N,N,T,S,E:P:?:?] (up: 1249 hrs) -> 213.134.128.25:80 (link: ethernet/modem)
>
>хп и фря. проверил с десяток своих шлюзов. 4х, 6х. оси всякие.
>прикрыл определение немного подругому, но всё равно спасибо за ответы.