URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 123094
[ Назад ]
Исходное сообщение
"Новый вариант атаки NAT slipstreaming, позволяющей отправить запросы на внутренний IP"
Отправлено opennews , 28-Янв-21 22:41 
Опубликован новый вариант атаки NAT slipstreaming,  позволяющей установить сетевое соединение от сервера атакующего к любому UDP или TCP порту на системе пользователя, открывшего подготовленную атакующем web-страницу в браузере. Атака даёт возможность атакующему отправить любые данные на любой порт пользователя, невзирая на применение на системе жертвы внутреннего диапазона адресов (192.168.x.x, 10.x.x.x), выход в сеть с которого напрямую закрыт и возможен только через транслятор адресов...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=54480

Содержание
Сообщения в этом обсуждении
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Онаним , 28-Янв-21 22:51 
И вот это вот овнище только что приняли в качестве стандарта.
Малацы.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено АнДанте , 28-Янв-21 23:02 
Верно, в проклЯтое время живем...
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Урри , 29-Янв-21 13:28 
В обычное смузивремя, что вы.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено asdf , 30-Янв-21 15:50 
хоть цепочка дырявого софта в этом виде атаке длинная, виноват канешна-же NAT...
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 28-Янв-21 23:45 
Обход нат в webrtc используется для прямой передачи данных между компьютерами за nat. Для защиты используйте фаервол
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Онаним , 28-Янв-21 23:51 
Один фиг, это счастье как раз рассчитывает на stateful filtering. Часть роутеров благополучно пробьют дырку и без всяких натов.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 01:17 
> И вот это вот овнище только что приняли в качестве стандарта.

Уже давно обязали его жрать и не отвлекаться. Почему нет хвалебных коментов ? Ох недоработка гулга..

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 05:47 
У гугла в последнее время кризис, даже фанатики начали от них бежать.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Урри , 29-Янв-21 13:32 
Просто гугл переборщил с aнaльным вставлянием рекламы по поводу и без. Настолько, что испортил свой собственный поиск. Вот народ и начал разбегаться.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:45 
> гугл .... испортил свой собственный поиск. Вот народ и начал разбегаться.

1) Что значит "испортил... поиск" - Вы заметили ухудшение выдачи? 2) Какой народ? Куда разбегаться? Вы о чём? Есть пруфы?

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено darkshvein , 01-Фев-21 00:11 
- Вы заметили ухудшение выдачи?  Вы о чём? Есть пруфы?


есть. ищи.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено darkshvein , 01-Фев-21 00:11 
> испортил свой собственный поиск.

с разморозкой!! только что заметили?

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Михаил , 05-Фев-21 14:19 
Чушь не пори
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:43 
> У гугла в последнее время кризис, даже фанатики начали от них бежать.

какой кризис? какие фанатики? вы о чём именно? есть пруфы?

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 19:31 
> Ох недоработка гулга..

Твой аккаунт еще не зобанили? Вот это недоработка, но абьюз тим уже взял тебя на карандаш за нарушение ToS.
  

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 19:29 
> И вот это вот овнище только что приняли в качестве стандарта.

Которое из них?

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Атон , 30-Янв-21 14:33 
Только что?
Какой год у тебя на календаре?
Да, к черту! не важно!
Парень, как только создадут Евросоюз смело покупай новую валюту, евро!
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Онаним , 30-Янв-21 15:11 
Я не знаю, какой год у тебя на календаре, но...

28.01.2001 - Технология WebRTC получила статус стандарта

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Онаним , 30-Янв-21 15:12 
Ахах блджад, да, 2001
Появится евро - обязательно куплю. Знал бы - сразу бы купил, а так - только в 2014 так делал. Не прогадал.

2021 конечно
Но не суть

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Annoynymous , 28-Янв-21 22:52 
smart doormat — это прекрасно!
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 28-Янв-21 22:58 
Ну вы просто галочку поставьте и не парьтесь.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 28-Янв-21 23:42 
Nat не для защиты. Обход НАТ это не баг, а фича
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Онаним , 28-Янв-21 23:50 
От наличия или отсутствия NAT тут ничего не меняется.
Проблема в обходе stateful filtering. NAT тут только часть целого.
Вообще тут ещё к кодописцам ALG в роутерах есть вопросы: какого фига пакеты с флагом фрагмента скармливаются ALG без предварительной дефрагментации.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Гентушник , 29-Янв-21 01:43 
Вот именно. Нужно фиксить этот баг на уровне ядра, а не в браузерах банить очередную порцию портов.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 01:59 
что-то мне подсказывает, что сквозь ipfw reass (и pf) хрен пролезет это чудище...
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:46 
> Проблема в обходе stateful filtering

Это вы где вычитали? Проблема только в ALG, ALG это часть NAT.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:59 
ALG это внезапно часть stateful tracking, а не NAT.
Которая влияет как на NAT, так и на фильтрацию.
Например порты RTP открывает, читая SIP.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено pofigist , 29-Янв-21 17:43 
Cisco ASA смотрит на тебя с недоумением...
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено онанимус , 29-Янв-21 00:19 
> smart doormat
> internet connected oven

то чувство, когда саркастичная ирония и не ирония вовсе, а киберпанк, который мы заслужили.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноньимъ , 29-Янв-21 01:21 
Через какую же попу все описанные технологии работают. Это просто жуть.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 02:55 
Цель интернета - пробить дыру к юзеру. А ты думаешь, почему его военные изобретали?
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Ананоним , 29-Янв-21 05:47 
Кажется исследователи спалили фичу, а удивляющийся просто не понял этого :)
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено СеменСеменыч777 , 29-Янв-21 14:33 
сидящие за nat полноценными юзерами Интернета не являются.
если некоторые ОС небезопасно выставить на реальный IP адрес без защиты, то это их проблемы.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 02-Фев-21 05:55 
Теории заговора в следующем отделе.
Изобретали интернет военные для военных, "юзеров" изначально там не планировалось вообще.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено openwrtshnik , 29-Янв-21 02:24 
>OpenWRT проблеме не подвержен

Ну тогда новость можно было и не писать. Проблемы любителей некротиков))

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено NetRaider , 29-Янв-21 02:39 
Чушь не пори. В микротиках функционал AGL полностью отключается штатными средствами
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Иноагент , 29-Янв-21 15:05 
Она везде отключается. Вопрос в том, где она включена по умолчанию.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Ivan_83 , 29-Янв-21 04:29 
А проблему решить просто: выставляем всем сокетам в системе по дефолту TTL/Hop Limit=1, а тем кому надо во внешку - пусть себе ставят привычные 64/128.
После этого фаерволы становятся не очень то нужны, а такие хаки просто бесполезны.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 07:39 
Можно ещё проще - закрыть для браузера интернет вообще и использовать прокси. Пусть куда угодно пакеты отправляет, хоть и через WebДыреньTC.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 09:45 
Это куда эту единичку прописать?
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Ivan_83 , 30-Янв-21 00:25 
Единичку прописать не проблема, проблема сказать софту чтобы он другой ттл прописал потом себе на отдельные сокеты.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 05:20 
У меня дежавю или подобная новость с баном портов по умолчанию из-за каких-то уязвимостей уже была?
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 10:07 
> У меня дежавю или подобная новость с баном портов по умолчанию из-за
> каких-то уязвимостей уже была?

Написано же, что это новый вариант прошлогодней пробоемы (в новости на неё стоит ссылка), вместо SIP в котором H.323 и обход TURN.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:54 
> новый вариант прошлогодней пробоемы

которая в свою очередь является развитием способа открытия портов в GW с помощью транслятора FTP протокола известного более 20 лет.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Ананоним , 29-Янв-21 05:48 
Кажется исследователи спалили фичу :)
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 08:13 
С голым задом нехрен лезть в инет.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 09:22 
Ахахахахаха Помню как фиксили прошлую версию. Добавляли номера портов в чёрный список. Давайте теперь и этот добавляйте. И так до бесконечности.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Кровосток , 29-Янв-21 09:58 
Не до бесконечности, а до 65535 :)
Но там стандартизаторы как увидят что все порты заблокированы по стандарту, решат что надо теперь к ipv6 добавить и портыv6 :) Чтобы уж точно их хватило с учётом забаненых :)
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:56 
А они так и делают :facepalm:
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено darkshvein , 01-Фев-21 00:13 
>Добавляли номера портов в чёрный список.

РКН довольно курит в сторонке.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 11:13 
Нормальная практика - это закрывать все порты и оставлять только необходимые для работы.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 12:06 
Я так и поступаю.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 15:00 
Так ALG этим и занимается. Открывает порты, необходимые для работы...
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 12:18 
Бугага.
У меня не работает.
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 14:48 
> Проблема уже устранена в недавних выпусках Firefox 85, Chrome 87.0.4280.141, Edge 87.0.664.75 и Safari 14.0.3.

Проблема в том, что это устраняют браузеры, а не долбоящеры, которые понасовали ALG во всевозможные роутеры.

Вообще есть удивительный карго-культ вокруг NAT-а. Я имел несчастье общаться с людьми которые:
1. Рассматривают NAT как средство безопасности, способное заменить ACL
2. Свято верящие в правильность решений вокруг NAT, отказываясь верить, что это нестандартизированный плохо документированный вендорозависимый механизм внутри фаервола.

ALG - это то что должен отключить каждый здравомыслящий человек вне зависимости от того, что там за вендор и на чем прошивка.

Если вы зайдете в настройки своего железного роутера/файервола вы увидите там перечень протоколов, для которых включено ALG. Так вот знайте! Это не "улучшение поддержки этих протоколов, потому что они не поддерживают NAT", это роутер занимается косорылым DPI и меняет содержимое данных в пакетах, чтобы оно:
а) заработало с его (вендора) единственно-верной реализацией NAT
б) добилось работоспособности "поддерживаемых" протоколов по стандартам 15-летней давности.

Из-за того что производители сетевого оборудования отказываются обновлять ПО, отказываются переходить на ipv6, отказываются стандартизировать механизм NAT они изобретают свои вендороспецифичные трюки вокруг ALG, которые в случае SIP и H323 не просто становятся причиной уязвимостей, но также приводят к неработоспособности этих протоколов, потому что не понимают/отказываются поддерживать их современные стандарты.

Особенно удивляют меня фанбои Cisco, которые верят в безопасность аналогичных ALG на ASA/ASR, дескать это устройства повышенной безопасности с поддержкой инспектирования траффика. А потом, когда их носом тычешь в tcpdump, что инспектирование для вопросов безопасности в понимании Cisco - это повырезать и поковеркать ESMTP, вырезав оттуда "250 STARTTLS", они искренне удивляются. Верующим документация не нужна. Для них DPI и NAT - это средства безопасности, а ALG - это средство помощи "устаревшим" протоколам. А потом их ломают... не понятно конечно почему...

Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор? Гэбня? Иллюминаты? Ни фига! Просто кто-то использует Cisco вместо коммутаторов и роутеров, да не просто так, а со стандартными настройками, потому что даже их настраивать не умеет.

И все эти вендоры сетевого железа... Они +/- все одинаковые. Им плевать, что стандарты поменялись, потому что сетевой администратор продолжит молиться на Nexus и покупать их дерьмо, даже не понимая суть происходящего выше уровня TCP/IP, даже не подозревая, что Cisco и D-Link это оборудование одного и того же класса. Тьфу.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 15:04 
> Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS

Лишний повод не пользоваться услугам крупных корпораций. Городская сеть ближе к клиентам :-)

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Иноагент , 29-Янв-21 15:22 
>Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор?

Ну это же зависит от настроек почтового сервера. Будет ли он принимать соединения для релея без TLS?

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 29-Янв-21 16:35 
TLS (SMTPS) - да. STARTTLS (ESMTP) - не только от него.

В одном случае SMTP-соединение происходит внутри TLS-обёртки, а во втором случае, наоборот шифрование происходит внутри ESMTP-сессии. Для этого используется команда 250 STARTTLS. При таком подходе соединение между серверами не зашифрованное, и по этому приглашению устанавливается зашифрованное соединение.
Соединение не зашифровано и оно вырезает возможность STARTTLS из ehlo. Потому что так решила Cisco.

250-STARTTLS -> 250-XXXXXXXA
Оно просто видит траффик на 25/587 и режет это. Причем это поведение цисковской помойки по умолчанию.

И не думайте, что баранов принимают в сетевики только в Эр-телекоме. Они повсюду: https://it.slashdot.org/story/14/11/11/2349244/

ALG это же даже как-то сложно. Их оборудование расшифровывает всю почту между почтовым клиентом и сервером, если используется удаленные порты 25/587. А их "сертифицированные" специализды слишком тупы, чтобы SMTP понять. Я пойму, когда аноним в интернете не понимает как работает почта, но я такой же бред от админов-сетевиков слышал. Печально это все... грустно.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено Аноним , 30-Янв-21 17:04 
Это поможет?
network.security.ports.banned.override = 69,137,161,1719,1720,1723,5060,5061,6566
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено XXX , 30-Янв-21 20:30 
По идее это должно помочь:

network.security.ports.banned = 69,137,161,1719,1720,1723,5060,5061,6566

Т.к. network.security.ports.banned.override наоборот разрешает порты из списка, исходя из этой информации: http://microsin.net/adminstuff/pcnetwork/firefox-blocking-po...

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено XXX , 30-Янв-21 20:34 
http://kb.mozillazine.org/Network.security.ports.banned
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено trr , 30-Янв-21 20:58 
> По идее это должно помочь:

Ну и ну, спецом для себя открыл, гугл такой гугл, спасибо

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено darkshvein , 01-Фев-21 00:10 
на кой чёрт мне сип и webrtc в браузере?
на кой чёрт я должен страдать из-за ретардов, которые не могут в установку отдельного мультимедийного ПО?
причем страдать не по каким то там идейным показателям жора озу/цпу, а по вполне реальным тестам безопасности.
почему браузеры равняются на дебилов?
"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено онанимус , 01-Фев-21 23:09 
> на кой чёрт мне сип и webrtc в браузере?
> на кой чёрт я должен страдать из-за ретардов, которые не могут в
> установку отдельного мультимедийного ПО?
> причем страдать не по каким то там идейным показателям жора озу/цпу, а
> по вполне реальным тестам безопасности.
> почему браузеры равняются на дебилов?

есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими кривыми ручками не запустил винлокер.
вся работа ведётся в браузере - для этого и онлайн офисы создаются, и сип клиенты.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено darkshvein , 02-Фев-21 00:19 
> есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими
> кривыми ручками не запустил винлокер.
> вся работа ведётся в браузере - для этого и онлайн офисы создаются,
> и сип клиенты.

а-ха-ха, в наиболее дырявом софте. узнаю виндоадминов.

"Новый вариант атаки NAT slipstreaming, позволяющей отправить..."
Отправлено ГОНЩИК , 06-Фев-21 15:50 
Ставь PALEMOON в нем webrtc вырезан и всякое дерьмо ,сейчас он на гиконе  на 1 процессе .Даже ublock запилили ваще кайф
"Новый вариант атаки NAT slipstreaming, позволяющей..."
Отправлено arisu , 09-Фев-21 08:36 
главное — не останавливаться, и добавлять в браузеры ещё больше всяких API. потому что это модно и безопасно!