36 lines
1.7 KiB
Plaintext
36 lines
1.7 KiB
Plaintext
Posté sur la mailing liste bugtraq (20 Nov 1999) :
|
|
|
|
---
|
|
Salut,
|
|
|
|
quelques petites nouvelles idées à propos des problèmes du champ IP ID :
|
|
|
|
Le premier est à propos du filtrage IP Linux : puisqu'il augmente le
|
|
compteur global du champ IP ID même si un paquet sortant sera filtré nous
|
|
sommes capables, par exemple, de scanner des ports UDP même si la sortie de
|
|
paquets ICMP de type 3 (ndt : port non accessible) est DENY, et en général
|
|
il est possible de savoir quand la pile TCP/IP répond à un paquet même si la
|
|
réponse est jetée.
|
|
Je pense (mais non testé) que ceci est vrai pour la plupart des firewalls.
|
|
|
|
Le second problème concerne la capacité à découvrir les règles de filtrage.
|
|
Par exemple il est trivial de connaître si un système A filtre les paquets
|
|
depuis l'adresse IP X.Y.Z.W en contrôlant l'augmentation du champ IP ID du
|
|
système A ou du système avec l'adresse X.Y.Z.W (ceci change si nous sommes
|
|
intéressés par la connaissance des règles d'entrée ou de sortie) et en
|
|
envoyant les paquets qui supposent une réponse. Également ceci est apparenté
|
|
avec la capacité de scanner les ports d'un système qui jette tous les
|
|
paquets avec une source différente de systeme.de-confiance.com. Il y a
|
|
d'autres choses comme ceci mais elles sont seulement différentes facettes du
|
|
même concept.
|
|
|
|
Quelques personnes pensent que ce type d'attaques ne sont pas des attaques
|
|
du "monde réel", je suis fortement intéressé de savoir quelle est l'opinion
|
|
des lecteurs de bugtraq (à mon opinion ce type d'attaques est faisable et
|
|
utile pour un attaquant. Par exemple la capacité de scanner les ports avec
|
|
seulement des paquets spoofés (ndt : avec l'adresse source usurpée) et la
|
|
capacité de deviner le trafic du système distant sont grandement réels).
|
|
|
|
ciao,
|
|
antirez
|