Opensvp

=======

مقدمة

أوبنسفب (Opensvp) هو أداة أمنية تنفذ "هجمات" بهدف اختبار مقاومة جدار الحماية للهجمات على مستوى البروتوكول. وهو ينفذ هجمات كلاسيكية بالإضافة إلى أنواع جديدة من الهجمات ضد بوابات طبقة التطبيقات (وتسمى helper في عالم Netfilter).

على سبيل المثال، يستطيع Opensvp تحت بعض الظروف (انظر الشرح أدناه للتفاصيل) فتح فتحة مؤقتة (pin hole) في جدار الحماية الذي يحمي خادم FTP: حتى لو كانت سياسة التصفية تضمن أن المنفذ 21 فقط هو المفتوح على الخادم، يمكنك فتح 'أي' منفذ على الخادم باستخدام Opensvp.

لنفترض أن 192.168.2.3 هو خادم يعمل عليه FTP ويقع خلف جدار حماية. إذا قام المستخدم، بصلاحيات الجذر (root)، بتشغيل::

opensvp --attacker -t 192.168.2.3 --helper ftp --port 23 -v -i eth0

فإنه سيحصل على وصول مؤقت إلى المنفذ 23 على الخادم بصرف النظر عن قواعد جدار الحماية.

الوثيقة "Secure use of iptables and connection tracking helpers" https://home.regit.org/netfilter-en/secure-use-of-helpers/ تصف أسلوب الحماية ضد هذا النوع من الهجمات.

الهجمات المنفذة

هجوم الانتحال على الـ helpers

انظر الفصل التالي للحصول على وصف دقيق للهجوم المنفذ.

عندما يكون المهاجم على شبكة متصلة مباشرة بجدار الحماية عبر الواجهة eth0، يمكنه تشغيل الأمر التالي::

opensvp --attacker -t 192.168.2.3 --helper ftp --port 23 -v -i eth0

192.168.2.3 هو عنوان خادم FTP و23 هو المنفذ الذي نريد فتحه على الخادم.

وبعد ذلك يمكن الاتصال بـ 192.168.2.3 على المنفذ 23 بعد هجوم ناجح.

إساءة استخدام الـ helpers

من الممكن أن يرسل العميل رسالة أمر مزوّرة يتم تفسيرها من قبل جدران الحماية على أنها فتح اتصال ديناميكي محتمل.

من الممكن استخدام خادم قياسي لإرسال الهجوم، لكن مع خادم مخصص ستعرف التحويل الذي تقوم به بوابة NAT المحتملة.

الجلسة النموذجية هي التالية. على الخادم الذي يملك عنوان IP 1.2.3.4، يمكنك تشغيل::

$ opensvp --server --helper irc -v

على العميل، يمكنك بعد ذلك تشغيل::

$ opensvp --client -t 1.2.3.4 --helper irc --port 23 -v 2.3.4.5:23 should be opened from outside

على الخادم، تظهر الرسالة التالية::

You should be able to connect to 2.3.4.5:23

هنا 2.3.4.5 هو العنوان العام للعميل.

هجوم TTL على حل DPI

على جهاز المهاجم، تحتاج إلى تشغيل Opensvp وتحديد طابور Netfilter المستخدم وواجهة الإخراج::

opensvp -n -q 0 -i eth1

ثم تحتاج إلى استخدام iptables لنقل حركة المرور التي تريد إخفاءها عن آلية التعرّف على البروتوكول إلى userspace::

iptables -I INPUT -p tcp --sport 443 -j NFQUEUE iptables -I OUTPUT -p tcp --dport 443 -j NFQUEUE

عند الانتهاء، اضغط CTRL+C لإيقاف عملية الهجوم.

وصف الهجوم ضد الـ helper

المبدأ

بعض بروتوكولات الشبكات تستخدم اتصالات متعددة للتبادل بين العميل والخادم. المثال الأكثر شهرة هو FTP حيث تمر الأوامر عبر اتصال على المنفذ 21 ويتم تبادل البيانات بوضعين مختلفين (اتصال من المنفذ 20 أو اتصال ديناميكي).

بعض تطبيقات جدران الحماية تنفذ بوابة طبقة التطبيقات (ALG) لتتمكن من اكتشاف هذا الاتصال المتوازي والسماح به ديناميكيًا. الحلول الأخرى هي استخدام مرحّل تطبيقات (proxy شفاف) أو فتح كل التدفقات الممكنة (قراءة كل شيء تقريبًا).

تقوم ALG بتحليل حركة المرور واكتشاف وتحليل الأوامر المرسلة بين الأطراف لتحديد معاملات الاتصالات المتوازية. وبمجرد الانتهاء، تفتح فتحات مؤقتة في جدار الحماية للسماح لحركة المرور المحتملة بالمرور.

فكرة هذا الهجوم هي تزوير هذا النوع من الرسائل لفتح فتحات مؤقتة في جدار الحماية، لكنها فتحات لم يكن ينبغي فتحها.

الشرط:

• جهاز المهاجم على شبكة متصلة مباشرة بجدار الحماية.
• جدار الحماية حساس للهجوم (على سبيل المثال، Netfilter مع ضبط rp_filter على 0).
• المهاجم قادر على التقاط حزم البيانات (إما عن طريق التقاط pcap أو بتشغيل اتصال بيانات بنفسه).

السيناريو هو التالي:

1. يلتقط متنصت (sniffer) على شبكة المهاجم حزمة واحدة من تدفق البروتوكول

   • يعكس عنواني ethernet الوجهة والمصدر
   • يزيد قيمة id في حقل IP وseq في حقل TCP
   • يعيّن الحمولة إلى الأمر المطلوب (مع المنفذ المحدد)

2. تُرسل الحزمة المزوّرة على الواجهة المتصلة بجدار الحماية

3. يعيد جدار الحماية الحزمة إلى العميل ويتوقع الآن حزمة بخصائص مبنية على مدخلات المهاجم

مهاجمة IRC

هذا الهجوم هو تطبيق مباشر للمبدأ الموصوف. بمجرد استلام حزمة البيانات، يرسل المهاجم أمر DCC مزوّرًا.

مهاجمة FTP

في هذا الهجوم، اتصال العميل يفتحه المهاجم. فهو يتصل بخادم FTP الموجود خلف جدار الحماية ويبدأ اتصالًا حقيقيًا. وبمجرد إنشاء الجلسة، يطلق الهجوم بإرسال أمر 227 مزوّر.

إذا تم استخدام IPv6، يتم تنفيذ الهجوم نفسه بأمر 229 مزوّر.

تأثير الهجوم

الأهداف المحتملة

القيد الرئيسي لهذه الهجمات هو أن المهاجم يجب أن يكون على شبكة متصلة مباشرة بجدار الحماية.

وبالتالي، فإن الاحتمالات الرئيسية هي:
 * هجوم من شبكة LAN الخاصة بمستخدم
 * هجوم في مزرعة استضافة

كلتا الحالتين يمكن أن تؤديا إلى كشف خطير للمعلومات من خلال منح المهاجم الوصول إلى خدمات غير محمية.

Linux
~~~~~

من المعروف أن هذا الهجوم يعمل على جدار حماية Netfilter عبر IPv4 إذا تم ضبط rp_filter على 0 (وهذا ليس القيمة الافتراضية على أمل).

لا يوجد حاليًا تطبيق لتصفية المسار العكسي لـ IPv6، وبالتالي فإن جدار الحماية غير محمي ويجب إعداد الحماية في قواعد جدار الحماية (انظر الفصل التالي).

من المعروف أن بعض برامج جدران الحماية قابلة للاختراق:
 * fwbuilder: يجب إعداد سياسة محددة
 * shorewall: الإصدارات الحديثة أصلحت المشكلة
 * edenwall: قابل للاختراق

يعمل الهجوم على كل من جدار الحماية للبوابة وجدار الحماية المحلي. على جدار الحماية المحلي، يجب تفعيل تصفية FORWARD ويجب إعداد قاعدة ESTABLISHED ACCEPT على هذه السلسلة. قد يكون هذا هو الحال بالنسبة للأنظمة التي تشغل أجهزة افتراضية.

الدفاع ضد الهجوم
==========================
Linux
-----

انظر الوثيقة التالية المخصصة لهذا الموضوع: https://home.regit.org/netfilter-en/secure-use-of-helpers/

أنظمة التشغيل والأجهزة الأخرى
--------------------

الشرط الأساسي هو تفعيل مكافحة انتحال صارمة والتحكم في تحميل ALG whenever possible.