Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Администрирование » Windows системы
Страницы: 1 2 След.
RSS
фильтрация NetBIOS траффика
 
#1
Это нравится:0Да/0Нет
05.05.2006 19:35:01
Скажите, никто не сталкивался с проблемой фильтрации NetBIOS. То есть не закрытия TCP-портов, а именно фильтрации (не по IP-адресам). К примеру NetBIOS траффик разрешен, но ограничен какими-то свойствами пакета NetBIOS. Существует ли возможность организовать подобную фильтрацию в Windows? Или существуют ли проги других производителей?

Заранее большое спасибо
 
 
 
#2
Это нравится:0Да/0Нет
05.05.2006 20:33:12
не совсем понятно что вы хотите добиться и нельзя ли это сделать на уровне настроек.
Я думаю если часть пакетов резать то весь протокол глючить будет.
 
 
 
#3
Это нравится:0Да/0Нет
06.05.2006 00:08:45
Например, зачем это нужно: работает какое-нибудь приложение, которому позарез нужен NetBIOS. Все вроде хорошо, но при этом хочется как-то обезопасить себя от червей, которые ломятся на открытый NetBIOS порт. Вот и проблема: можно как-то фильтровать NetBIOS?

Цитата
DigitalGhost пишет:
и нельзя ли это сделать на уровне настроек
с большим удовольствием, если подскажите как :-)
 
 
 
#4
Это нравится:0Да/0Нет
06.05.2006 00:36:50
Outpost защищает от червей, распространяющихся через 445 порт.
А вообще - почему бы не поставить все патчи и нормальный пасс - тогда и черви беспокоить не будут
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#5
Это нравится:0Да/0Нет
06.05.2006 00:42:14
Цитата
Shanker пишет:
А вообще - почему бы не поставить все патчи и нормальный пасс

вариант в принципе неплохой, но хотелось бы понять вообще насколько осуществима идея фильтрации NetBIOS
 
 
 
#6
Это нравится:0Да/0Нет
06.05.2006 01:52:03
Цитата
eldo пишет:
вариант в принципе неплохой, но хотелось бы понять вообще насколько осуществима идея фильтрации NetBIOS
Всё ограничивается твоими познаниями в программировании и юзанием WinPCap для осуществления фильтрации на твой вкус ;)
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#7
Это нравится:0Да/0Нет
06.05.2006 09:29:22
а как приложение которому позарез нежен NETBIOS отличаеться от червя (всмысле использования протокола)?
Помойму такие фокусы не пройдут. SNORT в поставить можно есче...
 
 
 
#8
Это нравится:0Да/0Нет
06.05.2006 10:18:33
Цитата
Shanker пишет:
Всё ограничивается твоими познаниями в программировании и юзанием WinPCap для осуществления фильтрации на твой вкус

А можно в этом месте немного поподробнее? ;-)
 
 
 
#9
Это нравится:0Да/0Нет
06.05.2006 18:12:39
Сам протокол, насколько я знаю, не имеет такой поддержки....тут нужны сторонние средства. Файрволл тоже не пройдёт..он не лезет в содержимое пакета.....а сами по себе какие бы не были пакекты, проходящие по netbios порту(кстати, 445 - rpc....netbios - 139)..одинаковы по своей природе...И что это за такие приложения, интересно?...может быть, можно придумать какую-нить альтернативу?
 
 
 
#10
Это нравится:0Да/0Нет
06.05.2006 22:11:57
Marco
А насчёт RAWsockets - слышал? Какой бы то ни был протокол, пакет, приходящий на комп - это набор шестнадцетиричных символов, в которых передаётся что за протокол от кого, кому и собственно содержимое - передаваемые данные.

Ты как думаешь стенка (да и система тоже) определяет какой пакет от кого и кому пришёл и что он сожержит? Вот как раз по спецификации: у каждогшо протокола определённые байты на определённом месте в пакете. Так что твои слова:
Цитата
Marco пишет:
Сам протокол, насколько я знаю, не имеет такой поддержки....тут нужны сторонние средства
- не имеют смысла

И уж тем более вот здесь ты глубоко ошибаешься:
Цитата
Marco пишет:
Файрволл тоже не пройдёт..он не лезет в содержимое пакета
- если бы он не лез - откуда бы он знал что это за пакет?

Цитата
Marco пишет:
а сами по себе какие бы не были пакекты, проходящие по netbios порту(кстати, 445 - rpc....netbios - 139)..одинаковы по своей природе
Вот как раз не совсем: можно послать любой сформированный нами пакет.

Цитата
Marco пишет:
И что это за такие приложения, интересно?
Самый элементраный пример - обычный сниффер


Цитата
eldo пишет:
А можно в этом месте немного поподробнее?
http://www.winpcap.org/
Ставь драйвер, изучай сорцы (куча примеров разных снифферов и прочих радостей) и мануалы - там хоть на буржуйском языке, но если владеешь техническим английским - разберёшься
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#11
Это нравится:0Да/0Нет
06.05.2006 22:48:40
Shanker,
Спасибо большое! Еще один вопрос: а в Windows нету никаких средств для организации подобной фильтрации?
 
 
 
#12
Это нравится:0Да/0Нет
06.05.2006 23:02:29
Цитата
eldo пишет:
а в Windows нету никаких средств для организации подобной фильтрации?
Встроенных? Вряд ли. По крайней мере я не видел. Да и политика MS настроена на то чтобы таких штучек и не было ;)
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#13
Это нравится:0Да/0Нет
06.05.2006 23:11:41
Цитата
eldo пишет:
К примеру NetBIOS траффик разрешен, но ограничен какими-то свойствами пакета NetBIOS.

Ты скажи точно, что тебе надо.


Цитата
Marco пишет:
кстати, 445 - rpc....netbios - 139

Ух ты :-)

445 - CIFS/SMB, именно через него работают общие папки Windows.
137-139 (NetBios) используются как резервный транспорт SMB, для разрешения имен, ну и для работы с 98й, если такая есть.
Хотя RPC и может ходить по 445 (и по 139), это уже будет RPC over SMB.

2 Shanker  - писать свой препроцессор NetBIOS на PCAP это конечно круто, но учитывая слабую докуметированость (по сути единственная нормальная документация - сырци Samba в которых порой сам черт ногу сломит :-), то она может стать неподъемной. Яркий пример - snort, который не обрабатывает RPC фрагментацию, в связи с чем очень плохо ловит слегка модифицированные MS04-011 и другие эксплойты для RPC или SMB.
 
 
 
#14
Это нравится:0Да/0Нет
07.05.2006 00:29:07
Цитата
offtopic пишет:
Ты скажи точно, что тебе надо.
например есть приложение, которому нужен NetBIOS. Возможно оставить открытым NetBIOS порт но принимать данные только от этого приложения, а остальные фильтровать?

Мне кто-то говорил про порты в NetBIOS, но что-то я никак не могу ничего подобного ни в статьях ни в спецификациях найти.

Я вот думаю может NetBIOS как-то по именам фильтровать можно. Ведь насколько я понял из доков - сервер слушает только какие-то определенные имена, и соответственно NetBIOS сессия устанавливается только для них. (The workstation sends a NetBIOS session request to the server name over the TCP connection. Assuming the server is listening on that name, it will respond affirmatively and a session is established.)
Ну например LMHOSTS строго прописать что ли или еще как-то

То есть можно как нибудь разрешить к примеру computer_name[03h] (соответсткует Messenger service on the WINS client) а все другое закрыть?
 
 
 
#15
Это нравится:0Да/0Нет
07.05.2006 02:45:05
Можно заюзать технологию port knocking (надеюсь, не ошибся в буржуйских словах): порт 445 закрыт стенкой, но как только получает пакет специальный (как раз от нашего приложения) и открывает порт на некторое время.
Правда, под винду замутить такое сложнова-то, особенно с настройкой стены будут проблемы...

Можно в самом пакете NetBIOS где-нибудь байт поместить чтоб фильтровать по нему через нашу прогу на основе PCAP, но это всё муторно. Почему доступ по IP не сделать?
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#16
Это нравится:0Да/0Нет
07.05.2006 10:32:00
Цитата
Shanker пишет:
Marco пишет: Файрволл тоже не пройдёт..он не лезет в содержимое пакета

- если бы он не лез - откуда бы он знал что это за пакет?
НА скольео я понимаю, в "data" файрволл не заглядывает, а человек хотел различать пакеты именно не по заголовку, а по его содержимому..

Цитата
Shanker пишет:
Marco пишет: И что это за такие приложения, интересно?

Самый элементраный пример - обычный сниффер
Угу...как рубиться netbios у человека?Файрволл?...файрволл у нас работает на уровне rawsocket...А сниффер читает траффик, переводит карточку в специальный режим, когда она ловит весь траффик, т.е. на уровне драйвера......значит снифферу пофигу на наличие файрволла?...ненаю...ща попробую такую фигню сотворить...будет ли работать....
 
 
 
#17
Это нравится:0Да/0Нет
07.05.2006 12:53:24
Цитата
Marco пишет:
НА скольео я понимаю, в "data" файрволл не заглядывает, а человек хотел различать пакеты именно не по заголовку, а по его содержимому..
Ты что: все файерволлы знаешь и все они не заглядывают?
Если бы не заглядывали - не защищали бы от всяких там атак на DCOM RPC.

Цитата
Marco пишет:
значит снифферу пофигу на наличие файрволла?...ненаю...ща попробую такую фигню сотворить...будет ли работать....
Моему сниффаку на основе PCAP было пофигу на Аутпост. Тем более про подобную штуку статья на секлабе была: приложение-трой на основе PCAP получает пакет и реагирует на него, и только потом стенка отбрасывает пакет исходя из правил, т.е. обход стенки получается!

Цитата
Marco пишет:
Угу...как рубиться netbios у человека?Файрволл?...файрволл у нас работает на уровне rawsocket
Не понял что ты этим хочешь сказать. И вообще смысла фраз не понял, переформулируй
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#18
Это нравится:0Да/0Нет
07.05.2006 13:17:27
Цитата
Shanker пишет:
Почему доступ по IP не сделать?
А если машина клиент червя поцепит и начнет его рассылать на порт NetBIOS? А так у нас NetBIOS будет принимать только то что нужно, насколько я понимаю.


Цитата
Shanker пишет:
Можно в самом пакете NetBIOS где-нибудь байт поместить чтоб фильтровать по нему через нашу прогу на основе PCAP, но это всё муторно.
а если по именам NetBIOS? Насколько я понимаю, комп по NetBIOS слушает именно определенное имя, которое и связано с приложением, правильно? Просто влезать в PCAP ой как не хочется - надолго это. А вот если б просто в Винде настроить как-нибудь слушающиеся имена...

Вот, к примеру, я хочу чтоб один комп был чисто файл-сервером, и принимал пакеты предназначеные для его имени, 16-й байт которых = 20. А другой только клиентом (16-й байт NetBIOS имени = 00). И чтоб регистрировали они только эти имена.
 
 
 
#19
Это нравится:0Да/0Нет
07.05.2006 13:49:43
В твоем случае идеально подойдет host-based IDS. Фильтрует неправильный трафик, а легитимный будет нормально пропускать.
Можно конечно и снорт, но его сложно настраивать. Из простых - blackice или proventia desktop.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#20
Это нравится:0Да/0Нет
07.05.2006 13:51:00
Цитата
eldo пишет:
Вот, к примеру, я хочу чтоб один комп был чисто файл-сервером, и принимал пакеты предназначеные для его имени, 16-й байт которых = 20. А другой только клиентом (16-й байт NetBIOS имени = 00). И чтоб регистрировали они только эти имена.
Извращенец. Вообще чтобы один сделать только клиентом а другой сервером, достаточно встроенных возможностей Windows. Но опять же HIDS тебе поможет.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
Страницы: 1 2 След.
Читают тему