Falha de Seguranca!!!

Ola pessoal!! Descobri uma falha de segurança grave e com crtza os amigos estão passando pelo mesmo problema, sempre vejo em fóruns inclusive daki alguns posts falando sobre redes que se enxergam e dão a maior trabalheira pra resolver, td bem depois de muita dor de cabeça consegui com o iptables derrubar todos pacotes q tentão atravessar de uma rede pra outra, mas agora o problema é que em computadores que os clientes utilizam protocolo NetBios/IPX aparecem numa boa em Locais de Rede, isso só em clientes que usam esses protocolos, ja retirei de alguns clientes, mas sempre me deparo com algum q coloca e acaba ficando exposto.

Agora queria saber dos amigos como bloquear o trafego desses protocolos, na minha rede e deixar trafegar apenas TCP/IP que ja está 100% bloqueado o trafengo entre outras redes!

Posso até estar falando bobagem mas bloqueia o tráfego nas portas 137,138,139 e 445 que eles correspondem ao tráfego netbios.

Veja a lista de portas aqui: http://www.iana.org/assignments/port-numbers

Amigo todas essas estão fechadas, e vc se esqueceu de um 445 que é através delas que os dados passam de uma rede pra outra!!
:lol: :lol: :lol:
O problema é barrar os protocolos NetBios/IPX as portas ja estão fechadas!!

Mas valeu brother!!

ae galera como assim rede enxergando outra rede, algume pode me explicar

São redes de classes difrentes no mesmo servidor enxergando as outras redes ou seja. a rede 192.168.0.1 vendo a rede 192.168.200.3 mesmo estando em subredes diferentes.

Voce pode resolver esse problema usando redes pequenas porem seu servidor ficará cheio de aliases...

faca o seguinte

rede 192.168.0.0/255.255.255.252

192.168.0.1 -> coloque esse ip no servidor
192.168.0.2 > coloque esse ip no cliente

broadcast 192.168.0.3

lembre de colocar no cliente e no servidor mascara 255.255.255.252

continuando a ordem o proximo sera

rede 192.168.0.4/255.255.255.252

192.168.0.5 -> coloque esse ip no servidor
192.168.0.6 > coloque esse ip no cliente

broadcast 192.168.0.7

lembre de colocar no cliente e no servidor mascara 255.255.255.252


e assim vai.... para subir alias na sua placa de rede do servidor
utilize ifconfig eth0:0
segunda alias ifconfig eth0:1
terceira alias ifconfig eth0:2

e assim vai espero que tenha entendido e que resolva o seu problema
[]'s

Scorpion,

Eu ja uso as regas dessa forma em meu server, ou seja
eth0:1 192.168.0.1/255.255.255.252 192.168.0.2 Cliente Broadcast 192.168.0.3

e mesmo assim não ta dando certo, fui ainda mais radical e removi o protocolo TCP/IP da minha estação pra ver; Ai que ficou rápido o acesso às outras subredes, ou seja retirando o protocolo TCP/IP as redes continuam se enxergando e trafegando dado entre elas, desde que estejam com os protocolos Netbios/IPX instalado na estação que usa WindowsXP

vou tda um tiro no escuro, tenta tira o modulo do ipx

no debian eh com o modconf

q coisa loka

vamo palpitah... 8) veja se isso aqui ajuda:
# Bloqueia a passagem de pacotes multicast de uma rede para outra
iptables -A FORWARD -i eth1 -o eth1 -m pkttype --pkt-type multicast -j DROP

# Bloqueia a passagem de pacotes broadcast de uma rede para outra
iptables -A FORWARD -i eth1 -o eth1 -m pkttype --pkt-type broadcast -j DROP

* Lembre-se eth1 ae no exemplo eh a interface que seus usuarios estao conectados (GW)

iptables -A FORWARD -d 192.168.0.1 -s 192.168.200.1 -j DROP

iptables -A FORWARD -p tcp -d 192.168.0.1 -s 192.168.200.1 --dport 25 -j ACCEPT
isso nao resolve ?

falta mais esta
iptables -A FORWARD -s 192.168.0.1 -d 192.168.200.1 -j DROP , pois com isso vc estara bloquando qq trafego entre as redes.

iptables -A FORWARD -p tcp -d 192.168.0.1 -s 192.168.200.1 --dport 25 -j ACCEPT nao eh --dport 25 , no caso sao as portas do netbios.

Citação:

---

Postado originalmente por Brenno

vou tda um tiro no escuro, tenta tira o modulo do ipx

no debian eh com o modconf

q coisa loka

---

Realmente é uma ótima idiea!! mas resta agora saber como deixa o linux usando apenas o protocolo TCP/IP??
Tenho esse problema com servers que uso Slack e RH !!

Depois de muita dor de cabeça consegui a solução, com a dica do amigo " Brenno " Resolvi remover o IPX/SPX e suas dependencias agora tá 100%!! ninguém vê ninguém!!

Abaixo estão os vilões e suas descrições!! " Removi todos eles "

mars-nwe-* Esse pacote permite que o server linux atue com um servidor de arquivos e impressão de uma rede Netware

ipxutils-* Esse ativa o suporte para IPX

ncpfs-* Os comandos para atuar em uma rede Netware caso fosse cliente

Valeu rapazeada!

pessoal... faz o seguinte... instalem em seus clientes, o sygate personal firewall e baubau...

baixem ele clicando aqui

Citação:

---

Postado originalmente por Michael

Depois de muita dor de cabeça consegui a solução, com a dica do amigo " Brenno " Resolvi remover o IPX/SPX e suas dependencias agora tá 100%!! ninguém vê ninguém!!

Abaixo estão os vilões e suas descrições!! " Removi todos eles "

mars-nwe-* Esse pacote permite que o server linux atue com um servidor de arquivos e impressão de uma rede Netware

ipxutils-* Esse ativa o suporte para IPX

ncpfs-* Os comandos para atuar em uma rede Netware caso fosse cliente

Valeu rapazeada!

---

dae Michell, tranquilo? seguinte cara.... remova todos os protocolos e deixe apenas o tcp/ip mesmo... nao precisa nada além dele... instala o programa que eu postei anteriormente, que MESMO QUE SE ENXERGUEM, nao abre a máquina... diz pro usuário que se ele remover o programa, vc nao poderá se comprometer com a segurança...

sygate? aff
sem comentarios

Citação:

---

Postado originalmente por Brenno

sygate? aff
sem comentarios

---

Cara, segurança é isso... pegue qualquer checklist e verifique se, mesmo estando em uma rede local, atrás de um servidor, o recomendado não é rodar um firewall em cada máquina!

Ainda mais se tratando de rede wireless... se vc nao fecha, os espertinhos rodam qualquer sniffer para wireless e pegam todo o tráfego, mudam de rede e sacaneiam a galera dentro da rede mesmo... o recomendado é SIM o uso de um firewall em cada máquina...

A não ser que vc pense em colocar um servidor Linux na casa de cada cliente, ehehehehe.....

dentre os firewall's que testei, este é o melhor que achei para windows.

eh jim mas no caso do cara aqui nao ia adianta nada isso o problema eh no firewall (gw) nao no cliente.... o cliente, no caso, nem sabe

cara adianta pois o cliente poderia bloquear certos protocolos no fw.

No freebsd tambem tem estes pacotes que devem ser removidos? se tem alguem sabe como faço isso?

Obrigado,

Itagildo Garbazza

Citação:

---

Postado originalmente por Anonymous

cara adianta pois o cliente poderia bloquear certos protocolos no fw.

---

Apoiado! Com certeza todo tipo de proteção é bem vinda! Além do mais, mesmo que por um acaso tenha algum espertinho na rede (podendo alterar o próprio IP entrando na mesma rede da vítima) a vítima estaria protegida (em termos) por esta ferramenta... mesmo em uma rede local, cabeada (cabo mesmo! par trançado!) é extremamente necessária a utilização deste tipo de ferramenta!


De qualquer forma, fica a dica...

michael, eu to exatamente com o mesmo pau, mas por tcp/ip mesmo.. posta como ficou seu firewall por favor

whinston

Esse é o script!! garanto que com ele vc resolvera 100% esse problema!!
depois vc posta aki como ficou! :lol: :lol: :lol:

#LIMPANDO TODAS AS REGRAS
iptables -F
iptables -X
iptables -F -t nat
iptables -X -t nat
iptables -F -t mangle

#CARREGANDO TODOS OS MÓDULOS " APENAS TODOS ELES "
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe ip_queue
/sbin/modprobe ip_tables
/sbin/modprobe ipt_MARK
/sbin/modprobe ipt_MIRROR
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_TCPMSS
/sbin/modprobe ipt_TOS
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_mac
/sbin/modprobe ipt_mark
/sbin/modprobe ipt_multiport
/sbin/modprobe ipt_owner
/sbin/modprobe ipt_state
/sbin/modprobe ipt_tcpmss
/sbin/modprobe ipt_tos
/sbin/modprobe ipt_unclean
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle

# DERRUBANDO TUDO DE UMA REDE PARA OUTRA
iptables -t filter -A FORWARD -d 192.0.0.0/8 -s 192.0.0.0/8 -j DROP

#PROTEÇÕES CONTRA FLOODS, PACOTES MAL FORMADOS E CIA
iptables -A FORWARD -m unclean -j DROP
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT


iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p udp -s 0/0 -i eth1 --dport 33435:33525 -j DROP
iptables -A INPUT -m state --state INVALID -j DROP


#BLOQUEANDO PORTAS NETBIOS E DE COMPARTILHAMENTO ENTRE AS SUB REDES
#TEM Q SER TODAS ELAS, SNIFEI MINHA REDE PRA TER CERTEZA DISSO
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A FORWARD -p tcp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A FORWARD -p udp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 135 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 136 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 137 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 138 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 139 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --sport 445 -j DROP

iptables -A INPUT -p tcp -d 0.0.0.0/0 --dport 135 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --dport 136 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --dport 137 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --dport 138 -j DROP
iptables -A INPUT -p tcp -d 0.0.0.0/0 --dport 139 -j DROP

iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 135 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 136 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 137 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 138 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 139 -j DROP
iptables -A INPUT -p udp -d 0.0.0.0/0 --dport 445 -j DROP

iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 135 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 136 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 137 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 138 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 139 -j DROP
iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 445 -j DROP

iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 135 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 136 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 137 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 138 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 139 -j DROP
iptables -A OUTPUT -p udp -d 0.0.0.0/0 --dport 445 -j DROP


#NAT DOS CLIENTES
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -s 192.168.145.2 -o eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.145.3 -o eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.145.4 -o eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.145.5 -o eth1 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.165.65.2 -o eth1 -j MASQUERADE

Citação:

---

Postado originalmente por Jim

Citação:

---

Postado originalmente por Michael

Depois de muita dor de cabeça consegui a solução, com a dica do amigo " Brenno " Resolvi remover o IPX/SPX e suas dependencias agora tá 100%!! ninguém vê ninguém!!

Abaixo estão os vilões e suas descrições!! " Removi todos eles "

mars-nwe-* Esse pacote permite que o server linux atue com um servidor de arquivos e impressão de uma rede Netware

ipxutils-* Esse ativa o suporte para IPX

ncpfs-* Os comandos para atuar em uma rede Netware caso fosse cliente

Valeu rapazeada!

---

dae Michell, tranquilo? seguinte cara.... remova todos os protocolos e deixe apenas o tcp/ip mesmo... nao precisa nada além dele... instala o programa que eu postei anteriormente, que MESMO QUE SE ENXERGUEM, nao abre a máquina... diz pro usuário que se ele remover o programa, vc nao poderá se comprometer com a segurança...

---

Grande Jim! blza cara! Olha crtza!! he uma ótima idéia, mas usuário ja viu né!! o nome ja diz tudo!! tem cara que se incomoda em responder um yes prum Fw, tem q mastigar o máximo possível pra essas criaturas, a maioria deles prefere até deixar a maq sem fw por esses pequenos detalhes!!! mas de qualquer forma de agora em diante vou ter q adotar tbm essa politica, vai ser o jeito fazer um pequeno artigo de como instalar e manter um fw mais simples possível rodando nas estações dos clientes!!! Vou pensar em algo do tipo, que o cliente possa utilizar e seu acesso ser liberado, q seria o Fw!! Não tenho idéia de como e por onde começar, mas vou tentar algo... Quem quizer se aventurar na idéia ou ter algo em mente, estou a disposição de todos!!! Pretendo deixar mais ou menos assim:

cliente com Fw====>Prov====> Internet
cliente sem Fw====> | Prov