[ot] antiproxy

[flocchini]

vorrei che al web server sulla mia gentoo-box (ma mi piacerebbe una soluzione implementabile per qualsiasi servizio) non si potesse connettere nessuno che usa openproxy (analogx ecc, roba da lamerozzi quindi ) Ho cercato in lungo e in largo ma non ho trovato nulla, avete qualche idea da suggerirmi? Una cosa del tipo: cura la porta $numeroporta: chiunque si connette li' e ha aperta la porta $numeroportatipicadelproxy lo metti in iptables. Tnx
_________________
~~ Per amore della rosa si sopportano le spine... ~~

[.:chrome:.]

come vuoi fare te non è possibile. il motivo è semplice

spero tu sappia che se io navigo appoggiandomi ad un qualunque gateway, quello che si vede come indirizzo sorgente non è quello della mia macchina, ma quello del gateway.
ora... se questo gateway ha un proxy (supponiamo squid) io mi collego da una porta non privilegiata della mia macchina alla sua 3128. da qui in poi è il proxy che naviga al posto mio, ma la connessione di partenza non parte dalla 3128, ma da una porta non privilegiata qualuqnue, ed è diretto alla porta 80 della tua macchina.
in sostanza, è impossibile distinguere una connessione diretta da una attraverso proxy basandosi sulle porte.

ti consiglio di leggerti qualche appuntino sulle reti.

[Kernel78]

Lungi da me contraddire k.gothmog ma ...
se il problema (dico se perchè non sono sicuro di aver capito) è di voler escludere dalla visione del proprio sito tutti coloro che passano per un proxy pubblico allora si può fare (con un certo margine di incertezza).

Se io metto in piedi un proxy pubblico questo deve avere una porta aperta accessibile pubblicamente (normalmente questi proxy hanno sempre aperta la 8080 a prescindere dal server che gira ma non ci metterei la mano sul fuoco) quindi se io controllo se chi si collega a me ha questa porta aperta posso presumere con un certo mergine di sicurezza (non il 100%) che si tratti di un proxy e quindi dropparlo.

Mi rimetto cmq al giudizio di chi ne sa più di me.
_________________
Le tre grandi virtù di un programmatore: pigrizia, impazienza e arroganza. (Larry Wall).
Prima di postare un file togli i commenti con

[.:chrome:.]

evidentemente non sono riuscito a spiegarmi

situazione 1: navigo dal mio pc normalmente
la mia connessione va da A (porta non privilegiata) a B (porta 80)

situazione 2: navigo attraverso un proxy (P)
la connessione va da A (porta non privilegiata) e P (porta 8080, per restare sul tuo esempio)
poi il proxy naviga per conto mio, e la sua connessione andrà da P (porta non privilegiata) a B (porta 80)

B non sa distinguere tra me e il proxy

te lo dico in un altro modo: la porta a cui tu fai riferimento è quella di "ingresso" delle connessioni, se mi si concede il termine, e non quella di "uscita"
la porta di "uscita" è sempre e comunque una porta non privilegiata, e non quella del proxy

[Kernel78]

[.:chrome:.]

tu ti sei spiegato benissimo, ma sai come funzionano le connessioni TCP? sembrerebbe di no

[Kernel78]

Ok, a leggere la tua risposta ci sono due possibilità:
1) non mi sono spiegato bene
2) non mi hai capito bene

Io non ho detto che iptables possa filtrare direttamente una connessione che atteraversa un proxy visto che (come continui a far notare anche tu) non si può sapere da quale porta del proxy arrivi la connessione.
Quello che dico io è che qualsiasi proxy pubblico deve avere una porta aperta sulla quale accetta le connessioni da ridirigere verso altri siti, la stragrande maggioranza di proxy pubblici usa la porta 80, la 8080 o la 3128.
Se quando si riceve una connessione si controlla se l'ip da cui arriva ha una di queste porte aperte (anche prima ho fatto l'esempio di nmap per scoprirlo) si ha buona probabilità di rendersi conto se si tratta di un proxy e in questo caso di droppare ciò che arriva da li.

Ovviamente in questo modo non si ha cmq il 100% di sicurezza di beccare tutti (e solo) i proxy ma a mio parere ha un ottimo margine di certezza.
_________________
Le tre grandi virtù di un programmatore: pigrizia, impazienza e arroganza. (Larry Wall).
Prima di postare un file togli i commenti con

[federico]

Non ho voglia ora di accendere il cervello cosi' tanto da fornire una soluzione completa, ma immagino che questi openproxy abbiamo una porta di entrata sulla quale l'utente si connette, e abbiamo anche delle porte di default. Contattando questa porta di default a questo indirizzo, dovrebbe apparire in linea di massima un simpatico banner che ti dice "ciao sei entrato in un proxy".

Se tu tutti gli utenti che si connettono a te, prima li scanni per vedere se hanno un banner noto, e poi li lasci connettere, tagli fuori tutti quelli che utilizzano questi sistemi configurati in default e ti rimane il proble,ma di una nikkia che si e' andata a modificare i sorgenti dell'openproxy a mano.
_________________
Sideralis www.sideralis.org
Pic http://blackman.amicofigo.com/gallery
Arduino http://www.arduino.cc
Chi aveva potuto aveva spaccato
2000 pezzi buttati là
Molti saluti,qualche domanda
Semplice come musica punk

[.:chrome:.]

allora scusa. non avevo capito che intendevi questo.
tuttavia mi sembra comunque impraticambile:

1 - all'arrivo di ogni connessione devi far partire una routine che fa i controlli che dici, ma come?
2 - potresti farlo con snortsam, ma un'operazione del genere è pesantissima per i processori
ammesso e non concesso di riuscirci:

3 - su quali porte fai lo scan? devi sapere a priori queli porte si usano. se ti capita una porta che non hai elencato sei già fregato
4 - fai un nmap? per uno stealth scan senza connect ci vogliono ALMENO 3 minuti per ogni host. ti sembra verosimile che un server web risponda dopo un tempo variabile tra i 3 e i 20 minuti?
5 - hai idea di quale razza di casino avresti nel firewall o nell'hosts.deny della tua macchina?

[mserri]

[federico]

[Kernel78]

Ho provato a controllare su un proxy pubblico a caso

[.:chrome:.]

fai uno scan del genere su una mia macchina (a parte che le mie macchine sono invisibili a quel tipo di scan) e finisci in una banlist. poi te la vedrai tu con il tuo provider.
e questa non è solo una mia politica, ma una politica adottata da molti amministratori.
se leggi bene io ho detto che lo scan deve essere di tipo stealth e senza connessione. sono gli unici che puoi fare senza incorrere nelle ire degli amministratori.

@federico:
non mi risulta che esista un modulo di apache che fa una cosa simile.

ad ogni modo resta il problema del come. io continuo a sostenere che secondo me non è una cosa banale, almeno ad occhio.
oltretutto scusatemi... ma perché mai uno dovrebbe adottare una politica simile?

[flocchini]

so come avvengono le connessioni e forse mi sono spiegato male, cmq federico ha capito esattamente cio' che mi serve, in pratica vorrei che succedesse come quando ti connetti ad alcuni server irc che sondano alla ricerca di openproxy non ti va bene? Cambi server. Punto), soltanto volevo sapere se esisteva un qsa di "standalone" e quindi non legato ad un servizio irc (che non rientra nel mio caso). Il perche' di una ricerca del genere? Esempio stupido, si potrebbe applicare ad un server opennap, banno l'ip di qno e quello rientra passando da un proxy aggirando il divieto. Gli scan sarebbero effettuati su 3 o 4 porte standard, sono i lamerozzi da tener fuori, mica chissachi. L'idea e' partita rilevando un troyan sul computer di un amico, che apriva un proxy proprio sulla 3128. Grazie comunque a chi e' intervenuto finora, anche se ciascuno con il proprio stile as usual
_________________
~~ Per amore della rosa si sopportano le spine... ~~

[.:chrome:.]

uhm... temo di non avere capito niente
a questo punto temo quindi di essere anche andato fuori strada. chiedo scusa se ho fatto casino

[flocchini]

hai solo pensato una cosa piu' complicata, ma il concetto di base e' quello tu pincopallino che ti connetti a me, hai la porta $numeroporta aperta? ok, me ne accorgo e finisci in deny. Ora la domanda e': come posso effettuare un'operazione del genere su ogni client che si connette alla mia macchina senza andare a ravanare nel codice/moduli del servizio al quale gli host remoti tentano di connettersi ? (ho l'influenza, perdonatemi ripetizioni o inesattezze ma in quanto malato questo e' l'unico momento che posso concedere alle pippe mentali come questa )
_________________
~~ Per amore della rosa si sopportano le spine... ~~

[comio]

[kaosone]

io lo farei con php, sono poche righe di codice e dovrebbe essere discretamente veloce
salvi tutti i proxy in un file che con cron vai a ripescare, metti dei ban temporanei e li cancelli dalla lista

[federico]

[kaosone]

era sottointeso il metodo che gia' avete indivuato: controllare le porte
non ci sono altri modi utilizzabili himo, se non confrontare il remote address reale con quello che invia il browser, ma sui proxy anonimi non funziona

[flocchini]

[kaosone]

come ho scritto prima, con php e cron e' un lavoro da 10 minuti

[makoomba]

[flocchini]

all'idea di farlo solo cn le connessioni cn stato NEW ci avevo pensato, ma davvero e' impraticabile a livello prestazionale? Ora do un'occhiata a QUEUE e snort inline

@kaosone: mi rispiegheresti un po' piu' esaustivamente come pensi di farlo in php?
_________________
~~ Per amore della rosa si sopportano le spine... ~~

[KingOfSka]

se usi php nel tuo webserver, puoi usare tutte pagine php, che includono una paginetta che tramite la funzione fsock si collega alla porta 8080 del visitatore, se riesce a collegarsi allora fai morire lo script con "die" altrimenti si prosegue...
potrebbe andare ?