Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость, позволяющая вклиниваться в TCP-соединения, осуще..., opennews (??), 06-Дек-19, (0) [смотреть все] Для IPv4 атака возможна в случае перевода rp_filter в режим Loose sysctl ne, Аноним (1), 13:49 , 06-Дек-19, (1) +24 // И в этом тоже systemd виноват , A.Stahl (ok), 13:55 , 06-Дек-19, (3) +3 // тут налицо вина сисдамина , Аноним (7), 14:04 , 06-Дек-19, (7) –5 // Да, можно и тае сказать А вот не надо было идти на поводу , Аноним (9), 14:05 , 06-Дек-19, (9) +1 А разве нет Почитайте текст в оригинале Таки да , Аноним (9), 14:04 , 06-Дек-19, (8) +6 notabug, closed , Поцтеринг (?), 14:08 , 06-Дек-19, (13) +23 Угу, ожидаемое следствие когда решения о настройках по умолчанию принимают дилет, Аноним (29), 14:47 , 06-Дек-19, (29) +2 // Ну так где были не дилетанты Вы же, не дилетанты, знали что вот-вот в режиме Lo, A.Stahl (ok), 14:57 , 06-Дек-19, (37) +9 Потому что я не нанимался тестировщиком systemd, Аноним (29), 15:02 , 06-Дек-19, (39) –3 По умолчанию должен быть сторогий режим Админ на свой стах и риск может понижат, Аноним (48), 15:24 , 06-Дек-19, (48) +1 И ведь действительно, в GRUB же дистрибутивы не приписывают по-умолчанию отключе, Андрей (??), 04:09 , 07-Дек-19, (144) +1 Не-дилетанты используют Икспишечку , Anonymoustus (ok), 18:41 , 06-Дек-19, (94) Windows XP has implemented the weak host model RFC1122 on IPv4, Аноним (-), 09:49 , 08-Дек-19, (163) И , Anonymoustus (ok), 18:22 , 08-Дек-19, (165) Может еще и IE6 А то у меня как раз в бэкапах эксплойт для активиксов нашелся , Аноним (-), 05:15 , 11-Дек-19, (182) Давай Я его запущу и покажу результат , Anonymoustus (ok), 07:30 , 11-Дек-19, (184) ХЗ, лично мне казалось очевидным, что любой режим, кроме strict, это по умолчани, anonymous (??), 20:53 , 06-Дек-19, (106) И по этому режим по умолчанию сначала был strict Но потом его сменили на loose,, annomaus (?), 22:27 , 06-Дек-19, (114) +2 И чем же, спрашивается, это лучше десяточки от Майкрософта Такое же отношение в , Аноним (141), 02:58 , 07-Дек-19, (141) +1 Да, это явно внедряемая уязвимость с расчётом на то, что большинство пользовател, Аноним (49), 15:25 , 06-Дек-19, (49) Уточним в этом виноваты создатели системды , Anonymoustus (ok), 18:40 , 06-Дек-19, (93) Нет, авторы его концепции - что пироги и сапоги может строгать один комбайнер , КО (?), 10:01 , 09-Дек-19, (169) Систамм да стал использовать балансировку нагрузки по умолчанию или что Есть же, dfhdh (?), 21:13 , 06-Дек-19, (110) –1 А ничего, что в системах, не использующих systemd, rp_filter вообще 0, т е выкл, Rootlexx (?), 21:42 , 06-Дек-19, (112) +1 // И как это оправдывает авторов systemd , Аноним (129), 01:17 , 07-Дек-19, (129) –1 // А при чём здесь вообще systemd Уязвимость в systemd - нет, не в systemd Значе, Rootlexx (?), 01:32 , 07-Дек-19, (132) +2 если я неткатом проброшу 23й порт напрямую в рутовый шел - это уязвимость в netc, пох. (?), 02:09 , 07-Дек-19, (136) В дистрибутивах, не использующих systemd, используется как раз конфигурация ядра, Rootlexx (?), 02:18 , 07-Дек-19, (137) +1 grep rp_filter etc sysctl conf net ipv4 conf all rp_filter 1таким, примерно , пох. (?), 02:33 , 07-Дек-19, (139) Сначала заявили про безопасную конфигурацию ядра по умолчанию, а теперь вдруг , Rootlexx (?), 02:39 , 07-Дек-19, (140) Оговорка нужная Чтоб вы понимали, анонимы, почему я говорю, что пох знаёт вс, Anonymoustus (ok), 08:24 , 07-Дек-19, (147) openSUSE Почему-то systemd не помешал мэйнтейнеру поменять значение на Strict , Darth Revan (ok), 19:30 , 08-Дек-19, (166) Системда помешала SUSE жить и развиваться Конвульсии вызывают сожаления и взыва, Anonymoustus (ok), 20:11 , 08-Дек-19, (167) Пруфы буду про конвульсии А пока я вижу, что в Сусе пакеты новее, чем в Дебиане, Аноним (177), 15:53 , 09-Дек-19, (177) ERROR Peer certificate cannot be autentificated with known CA certificates 60, Anonymoustus (ok), 17:06 , 09-Дек-19, (178) ЗЫThese products have reached their end of general supportand thus do not provid, Anonymoustus (ok), 17:11 , 09-Дек-19, (179) Для систем на которых поднят vpn некорректно, причем systemD в курсе подняты они, КО (?), 10:07 , 09-Дек-19, (170) +1 Аргументируйте, почему rp_filter 0 корректно, а более строгое rp_filter 2 , Rootlexx (?), 06:39 , 11-Дек-19, (183) https github com systemd systemd commit 230450d4e4f - описание, зачем была сде, mikhailnov (ok), 11:20 , 07-Дек-19, (150) // Это когда гребёшь на работе с ноута подключённого кабелем, затем отключаешь его , Аноним (154), 12:54 , 07-Дек-19, (154) +1 А как они получают ключ, длинной, например, 2048 бит , ведь openvpn по сути это, Адекват (ok), 13:50 , 06-Дек-19, (2) +1 // В том-то и дело, что ни ключ, ни логин-пароль не нужны Пакет прилетает из внешн, Аноним (4), 13:56 , 06-Дек-19, (4) +10 // Но тогда причем тут ВПН, если точно так же можно подделать ТСП и без ВПНа но , Аноним (14), 14:09 , 06-Дек-19, (14) +3 // vpn тут притом, что траффику из vpn а обычно доверяют речь, если что, Васян, не, пох. (?), 14:22 , 06-Дек-19, (20) Почему 171 наивно 187 , Аноним (29), 14:49 , 06-Дек-19, (30) то есть если vpn основан на udp а не на tcp - данный метод не сработает Вообще , Адекват (ok), 14:12 , 06-Дек-19, (16) // сработает Подделать можно - только udp, тот что внутри vpn - для tcp слишком мн, пох. (?), 14:25 , 06-Дек-19, (24) Они пишут сразу в декодированный канал, что там н6а уровне шифрования им фиолето, КО (?), 10:12 , 09-Дек-19, (171) насколько понимаю, на BSD со включенным в pf antispoof - работать не будет, а в, Аноним (9), 14:00 , 06-Дек-19, (5) –2 Не увидел бага Это особенность Rp filter отключается только на маршрутизаторах , Аноним (6), 14:00 , 06-Дек-19, (6) –1 // полагаю, стильномодномолодёжные девляпсы не поймут , Аноним (9), 14:06 , 06-Дек-19, (10) +2 у нормальных людей это брандмауером прикрывается на этапе проектирования а те к, Аноним (12), 14:07 , 06-Дек-19, (12) +1 // нет идеальных людей не одно, так другое кто-то доверяет провайдерским шлюза, ll (??), 18:03 , 06-Дек-19, (87) +4 // идеальных людей нет но есть пока еще квалифицированные специалисты , Аноним (12), 18:38 , 06-Дек-19, (91) +1 нету В смысле, в IT - уже нету Кинолога одного знаю , пох. (?), 02:00 , 07-Дек-19, (135) Это дефолтная фишка systemd -- поднаcрать там где не ждали , Аноним (23), 14:23 , 06-Дек-19, (23) +17 // Ох, как я с Вами согласен , Аноним (29), 14:51 , 06-Дек-19, (32) Теперь даже до FreeBSD, OpenBSD, macOS, iOS и другие Unix-подобные системы, Andrey Mitrofanov_N0 (??), 14:55 , 06-Дек-19, (36) // Для этого, а точнее не только этого, а и много чего еще например не давать св, nuclight (??), 15:39 , 06-Дек-19, (51) +2 и - для любителей last match, хитрых policy NAT ов и гигантских таблиц - antispo, Аноним (9), 17:33 , 06-Дек-19, (78) ipfw show 124 grep anti00010 14 882 deny ip from any to any not, Аноним (97), 19:29 , 06-Дек-19, (97) что у вас за устаревшая немодная вонючая портянка в конце текста и что она вообщ, пох. (?), 14:07 , 06-Дек-19, (11) // Значит она пока не такая прекрасная, как хотелось бы , dimqua (ok), 14:17 , 06-Дек-19, (18) +5 // в соседней новости с вами не согласны - скормил, чисто поржать Результат, в о, пох. (?), 15:02 , 06-Дек-19, (40) О, ДеВоПсЫ подтянулись , Nadanon (?), 15:49 , 06-Дек-19, (53) –2 // девопсы правила фиревола руками не пишут - у них на то доскер в доскере под упра, пох. (?), 16:04 , 06-Дек-19, (56) +2 // У правильного девопа вообще нет фаерволапотому как это не задача девопса вообще,, привет (ok), 11:34 , 09-Дек-19, (172) –1 дык, у самого монга такая же Если ее закрыть - она, внезапно, и работать не буд, пох. (?), 11:43 , 09-Дек-19, (173) вот это дельная вещь - допишу в ТЗ коллегама то чот у них не запускается монга-т, привет (ok), 12:51 , 09-Дек-19, (175) ДевоПсы Сначала РедхатОвцы а потом и ДебианОвцы , Аноним (154), 12:45 , 07-Дек-19, (153) +1 Сам iptables по умолчанию работает через nftables, если дистрибутив явно не взял, Darth Revan (ok), 16:36 , 06-Дек-19, (65) +2 // Выгляди отвратительно, три строки вместо одной, постоянное дублирование слов ip , Аноним (129), 01:23 , 07-Дек-19, (131) +1 // Таблицы и цепи сами собой не возникают, как на iptables, да В nft list ruleset о, Darth Revan (ok), 03:45 , 07-Дек-19, (143) +1 cat proc sys net ipv4 conf all rp_filter 0Проклятый системдос И до openwrt д, Аноним (15), 14:11 , 06-Дек-19, (15) –1 // openwrt это маршрутизатор с поддержкой ассимитричного трафика, Аноним (29), 14:53 , 06-Дек-19, (34) // а ведь некоторые, не будем показывать пальцем, тащат на него openvpn , пох. (?), 15:03 , 06-Дек-19, (41) +1 Системдос выставляет значение 2 , Аноним (45), 15:06 , 06-Дек-19, (45) // 2 8212 это там, где он установлен , Аноним (15), 15:35 , 06-Дек-19, (50) а меня 1, Аноним (64), 16:30 , 06-Дек-19, (64) CentOS 7cat proc sys net ipv4 conf all rp_filter1Fedora 30cat proc sys net ipv, хотел спросить (?), 00:30 , 07-Дек-19, (127) я только не понял, с rp_filter 0 оно работает или нет , Аноним (12), 14:13 , 06-Дек-19, (17) // А самому попробовать первую стадию определение локального адреса VPN ну вообще, Аноним (-), 14:20 , 06-Дек-19, (19) насколько понял, если вы сидите из мухосранска где только ipv4 - настройки rp_fi, Аноним (-), 14:22 , 06-Дек-19, (21) // а если ipv6 недоступен внутри тунеля если у меня в openVPN только ipv4 , хотел спросить (?), 03:28 , 07-Дек-19, (142) походу тебя поимеют, Аноним (64), 16:37 , 06-Дек-19, (66) Слишком надуманоЯ правильно понимаю, что включение strict приведёт к проблемам с, Нанобот (ok), 14:28 , 06-Дек-19, (25) –5 // включение strict будет проверять, что отправитель и адресат совпадают, так сказа, Аноним (-), 14:35 , 06-Дек-19, (28) –1 // адресат и получатель же, Аноним (-), 14:50 , 06-Дек-19, (31) –1 нет, неправильно Проверяется _reverse_path , пох. (?), 15:04 , 06-Дек-19, (43) ребята, объясните - правильные параметры выставляются черезsudo sysctl -w net i, Нуб (?), 14:32 , 06-Дек-19, (26) // 147- Enables source route verification148 net ipv4 conf default rp_filter 114, Аноним (33), 14:51 , 06-Дек-19, (33) // на манжаре вообще нет этого файла , Аноним (-), 15:03 , 06-Дек-19, (42) // Его надо создать Ну или run sysctl d conf etc sysctl d conf , Аноним (33), 15:05 , 06-Дек-19, (44) etc sysctl d 100-manjaro conf имеется С единственной записью vm swappiness 1, Аноним (-), 18:39 , 06-Дек-19, (92) Какие кошмарные дефолты, впрочем, в рачике всё нужно настраивать самому Можно с, Аноним (33), 01:44 , 07-Дек-19, (134) Operating Systems Affected Here is a list of the operating systems we have tes, Аноним (-), 14:33 , 06-Дек-19, (27) +9 // Devuan опасносте 128561 А в коментариях выше местные иксперды уже пришли к выв, Нанобот (ok), 14:54 , 06-Дек-19, (35) // А о чём вы спорите Там где systemd 8212 это решение принимал systemd, это же, Аноним (29), 14:58 , 06-Дек-19, (38) +3 OpenBSD - Only two remote holes in the default install, in a heck of a long time, Olololo (?), 16:56 , 06-Дек-19, (70) +9 // бгг фраза звучит довольно фальшиво уже как несколько лет , но фанатики хавают, ll (??), 17:35 , 06-Дек-19, (79) +5 // Вы знаете, а я почему-то полагал, что люди её применяют - после тщательного анал, Аноним (9), 18:07 , 06-Дек-19, (88) ну вон перечитай жизенный путь одного местного, гхм нефанатика, изложенный ча, пох. (?), 19:42 , 06-Дек-19, (100) +1 Напомнить, как после обнародования уязвимости Spectre в процессорах только у Ope, Olololo (?), 20:30 , 06-Дек-19, (103) Десяточку, вестимо , Anonymoustus (ok), 21:13 , 06-Дек-19, (111) +1 лолшта spectre не имеет отношения к героической поебде над гипертредингом, с ко, пох. (?), 22:44 , 06-Дек-19, (115) Бред не неси Причём тут Meltdown Я где-то про него писал Может ещё какие нибу, Olololo (?), 22:58 , 06-Дек-19, (117) бред нес твой божок Тео, перемешав две проблемы в своих широковещательных заявле, пох. (?), 23:41 , 06-Дек-19, (123) Что ЧТО В виртуальных машинах тоже патчи на компилятор помогут В интерпретато, Olololo (?), 23:49 , 06-Дек-19, (124) да В смысле, наоборот - кроме них ничего не поможет Причем понадобится собират, пох. (?), 02:27 , 07-Дек-19, (138) +1 да, кому поржать над пастушком с заевшей пластинкой Волки - гугль притащил из, пох. (?), 17:53 , 08-Дек-19, (164) Ну блин, padding уже везде должен быть жеж поидее, Аноним (46), 15:10 , 06-Дек-19, (46) Даже ничего изменять не пришлось code net ipv4 conf all accept_redirects 0net, Ilya Indigo (ok), 15:24 , 06-Дек-19, (47) –4 // Надеюсь ты сам понимаешь что тут столько настроек чтобы сам ты тут ничего поменя, Аноним (55), 15:59 , 06-Дек-19, (55) +3 // он похоже не понимает, что эти настройки означают и как работают - судя по мешан, пох. (?), 16:06 , 06-Дек-19, (57) // На дефолтные из убунты не похоже видимо он их сам правил , Аноним (55), 16:18 , 06-Дек-19, (62) на копипасту из вопросов со stackoverflow похоже - до ответов, видимо, опять нед, пох. (?), 22:45 , 06-Дек-19, (116) +1 Я понимаю для чего они изменяются, но не понимаю до конца все последствия и накл, Ilya Indigo (ok), 16:11 , 06-Дек-19, (58) // Хорошо что ты сам смог это более четко сформулировать , Аноним (55), 16:13 , 06-Дек-19, (59) Да я это и не говорил никогда что разбираюсь в параметрах настройки ядра и в фил, Ilya Indigo (ok), 16:25 , 06-Дек-19, (63) +2 Ох, мать-перемать, вот это простыня Это ты на своем десктопе лэптопе такое фига, Fyjy (?), 16:49 , 06-Дек-19, (68) // Вообще-то это веб-сервер nginx php redis , настроенный на высокую нагрузку На д, Ilya Indigo (ok), 17:43 , 06-Дек-19, (82) // А это ничего, что его требования - перпендикулярны большим нагрузкам и вообще , пох. (?), 22:59 , 06-Дек-19, (118) Вы можете обосновать своё заявление Я читал про них в то время, уже подзабыл что, Ilya Indigo (ok), 23:52 , 06-Дек-19, (125) лень Можно просто включить обратно huge pages и убедиться, что мир не рухнет, и, пох. (?), 00:39 , 07-Дек-19, (128) +2 Я месяц назад перешёл на nginx php-fpm апач со своим htaccess уже в прошлом Поду, Ilya Indigo (ok), 01:21 , 07-Дек-19, (130) у тебя основные задержки - на установление соединения с клиентом и рестарт пхп-и, пох. (?), 11:59 , 09-Дек-19, (174) +1 Добавь вот это code vm swappiness 0vm dirty_ratio 60vm dirty_background_ratio 40, Olololo (?), 16:58 , 06-Дек-19, (71) –1 // Какая прекрасная идея Фигак и нет у тебя больше IPv6 Вот только что был, но ты, Fyjy (?), 17:05 , 06-Дек-19, (73) // Нет IPv6, а значит и нет дырок в IPv6 и дырок эксплуатируемых с помощью IPv6 Эт, Olololo (?), 17:11 , 06-Дек-19, (74) +2 Что такое 171 дырки в IPv6 187 А так отруби тогда вообще сетевой стек, что у, Fyjy (?), 17:15 , 06-Дек-19, (75) IPv6 слишком молод, чтобы его использовать Ещё даже в IPv4 не все дырки отловил, Olololo (?), 17:20 , 06-Дек-19, (76) +1 Сижу на героине весь, просто весь, а ты тут предлагаешь дилеров отстреливать , Michael Shigorin (ok), 13:52 , 07-Дек-19, (156) –3 Миша, мы все знаем, что логика не твоя сильная сторона, а мозг у тебя отсутствуе, Fyjy (?), 17:49 , 07-Дек-19, (159) +5 20 год не хочешь Пу сидит со второй половины 1999 года, сидит уже больше чем Бр, Olololo (?), 19:37 , 07-Дек-19, (161) +2 А об интернете они узнали 10 лет назад, как раз тогда начали первые законы о цен, Fyjy (?), 22:45 , 07-Дек-19, (162) +2 причем одного раза выстрелить самому себе из ружья в задницу показалось мало, сд, пох. (?), 00:01 , 07-Дек-19, (126) ipv6 полноценно отключается только через параметр загрузки ядра От этого же у ме, Ilya Indigo (ok), 17:56 , 06-Дек-19, (85) +2 // Выруби логи, делов-то , Olololo (?), 18:01 , 06-Дек-19, (86) +1 Как раз наоборот Именно это рекомендуемый, например, красношапкой способ отключ, gogo (?), 18:37 , 06-Дек-19, (90) Про inet_protocols ipv4 не слышали , Аноним (101), 19:52 , 06-Дек-19, (101) +3 тебе же сказали - выключи логи Они ВСЕ проблемы так решают , пох. (?), 23:01 , 06-Дек-19, (119) +4 Читая, что пишет этот чувак, держусь за лицо уже двумя руками А он ведь не толь, Anonymoustus (ok), 08:57 , 07-Дек-19, (148) +2 Отличная иллюстрация того, зачем надо использовать HTTPS Сначала был KRACK, кото, AnonPlus (?), 15:46 , 06-Дек-19, (52) // Да-да, особенно умиляет HTTPS _вместо_ FTP , Anonymoustus (ok), 18:47 , 06-Дек-19, (95) +1 // кто-то ещё пользуется FTP D, InuYasha (?), 11:39 , 07-Дек-19, (152) И это только один системдосовский нотэбаг , Аноним (55), 15:55 , 06-Дек-19, (54) Я писал о похожей атаке в 2015 году https habr com ru post 273523 Использовал , sage (??), 16:18 , 06-Дек-19, (61) +2 // Так вот мне засирал порты в 2015 году , Olololo (?), 17:00 , 06-Дек-19, (72) +2 // Так вот кто тебе в порты наcpaл и совсем и не абама , anonymous (??), 19:39 , 06-Дек-19, (99) Это у тебя там Рика-тяма на аватарке или просто похожа , Аноним (-), 20:53 , 06-Дек-19, (105) что тебе надо откуда-то узнать ip-адрес А если у тебя при подключенном vpn и пе, пох. (?), 23:07 , 06-Дек-19, (120) +1 user laptop sysctl net ipv4 conf all rp_filternet ipv4 conf all rp_filter 1u, Fyjy (?), 16:48 , 06-Дек-19, (67) +4 // , Аноним (64), 16:50 , 06-Дек-19, (69) давно обновления-то не ставил проблемы нет , ага Пока завтра не приползет нов, пох. (?), 23:09 , 06-Дек-19, (121) // Сегодня обновления ставил Дальше фантазировать будешь , Fyjy (?), 17:50 , 07-Дек-19, (160) +1 Блин, iptables и nftables, конечно, мощные инструменты Но какой же вырвиглазный, Аноним (46), 17:53 , 06-Дек-19, (84) –1 а в FreeBSD что править и патчить , Аноним (89), 18:13 , 06-Дек-19, (89) –1 // В ipfw - deny ip from any to any not verrevpath in, xm (ok), 19:03 , 06-Дек-19, (96) –1 Я тут недавно обнаружил, что через NAT-сервер и так утекают локальные адреса Ту, Аноним (98), 19:35 , 06-Дек-19, (98) +1   // на бордере - _любом_ бордере, а не только натящем, является хорошей традицией не, пох. (?), 23:20 , 06-Дек-19, (122)   Это давно известная багофича В iptables можно фильтровать как-то вроде -m conn, Нанобот (ok), 10:45 , 07-Дек-19, (149) +1   Так это для впн можно и на ноль сидеть, Оперой не пользуюсь и другими впнка, Анонимчик (?), 20:30 , 06-Дек-19, (102) –4 cat proc sys net ipv4 conf all rp_filter 1, fedora (?), 20:52 , 06-Дек-19, (104) Ну и root-доступ бы ещё неплохо , Онаним (?), 20:59 , 06-Дек-19, (108) А какого хрена вообще какие-то режимы влияют на изоляцию VPN-туннелей Какого хр, Аноним (113), 21:56 , 06-Дек-19, (113) –1 // Потому что vpn туннель реализован в виде виртуального сетевого интерфейса, Аноним (129), 01:33 , 07-Дек-19, (133) +1 кто полагается на IP-адреса в вопросах безопасности VPN тот сам себе злобный бур, Аноним (145), 04:27 , 07-Дек-19, (145) // на Archlinux всё в порядке, Аноним (145), 04:30 , 07-Дек-19, (146) // Этим всё сказано , Аноним (151), 11:39 , 07-Дек-19, (151) Понятно, что все высказались кто-нить уже git grep, git blame и git show насчёт, Michael Shigorin (ok), 13:40 , 07-Дек-19, (155) // Сам-то побрезговал https github com systemd systemd search q Loose type Com, Andrey Mitrofanov_N0 (??), 09:01 , 09-Дек-19, (168) Где там чего менять , Аноним (-), 15:10 , 07-Дек-19, (158) –1 Сразу видно уровень местных экспертов - все побежали включать rp_filter - я всег, Ivan_83 (ok), 13:30 , 09-Дек-19, (176) –1 Первым делом при настройке любого маршрутизатора запрещаю приём пакетов на интер, mumu (ok), 02:22 , 10-Дек-19, (180) Ecли у меня UDP с TLS на pfsense, мне стоит беспокоится по поводу сабжа , Аноним (181), 01:14 , 11-Дек-19, (181) Примерно 15 лет назад данная техника атаки на шифрованные тунели была разработа, Аноним (185), 12:04 , 15-Дек-19, (185) 1,2,5,6,11,15,17,25,26,27,46,47,52,54,61,67,84,89,98,102,104,108,113,145,155,158,176,180,181,185

Сообщения

[Сортировка по времени | RSS]

98. "Уязвимость, позволяющая вклиниваться в TCP-соединения, осуще..."	+1 +/–
Сообщение от Аноним (98), 06-Дек-19, 19:35
Я тут недавно обнаружил, что через NAT-сервер и так утекают локальные адреса. Тупо некоторые FIN и RST -пакеты не натятся и улетают как есть. Для FIN-пакетов я подобрал параметры в sysctl, которые это фиксят, а вот RST-пакеты всё-равно не все натятся - по-моему это баг ядра. Поснифайте внешний интерфейс на своём NAT, у кого есть такая возможность.
Ответить | Правка | Наверх | Cообщить модератору

	122. "Уязвимость, позволяющая вклиниваться в TCP-соединения, осуще..."	+/–
	Сообщение от пох. (?), 06-Дек-19, 23:20
	на бордере - _любом_ бордере, а не только натящем, является хорошей традицией не "снифать внешний интерфейс", а иметь либо маршруты для rfc1918 сетей в blackhole или иной местный аналог /dev/null, либо правило drop в пакетном фильтре. Это не баг ядра, это баг твоих настроек скорее всего. Отправлять эти rst дальше null не имеет никакого смысла.
	Ответить | Правка | Наверх | Cообщить модератору

	149. "Уязвимость, позволяющая вклиниваться в TCP-соединения, осуще..."	+1 +/–
	Сообщение от Нанобот (ok), 07-Дек-19, 10:45
	Это давно известная багофича. В iptables можно фильтровать как-то вроде "-m conntrack --ctstate INVALID -j DROP"
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема