Faille de sécu dans Dansguardian

par **neo_hijacker** » 24 Fév 2004 14:19

Actuellement, Dansguardian couplé a IPCOP sécurise mon réseau(proxy anonyme). En effet en allant sur un site interdit, je tombe sur la jolie page d'erreur de Dansguardian. Mais la faille que j'ai trouvé est celle la : en mettant proxy.free.fr:3128 dans les propriétés d'internet explorer, j'arrive à aller sur les sites interdits. Comment régler ce problème ?

par **tomtom** » 24 Fév 2004 14:50

Il faut que tu bloques au niveau d eipcop tout ce qui vient du reseau vert et qui va vers internet directement, sauf ce que tu utilises de cette manière (dans un premier temps, bloquer les ports de proxy standard sera pas mal : 3128, 8080... ) En effet, le redirection en transparent ne fonctionne que sur le port 80 ! Ce n'est d'ailleurs pas du tout une faille de DG, mais bien un problème d'architecture avec ipcop en proxy transparent ! t.

par **touffator** » 24 Fév 2004 14:55

C'est normal danguardian ne filtre pas puisque tu passe par un autre proxy donc lui tout ce qu'il voie c'est l'adresse du proxy pour empecher ca tu as plusieurs solutions : je pense que dans guardian integre une blacklist de proxy et dans ce cas tu peux lui specifier d'interdire l'acces a tout ce qui correspond a cette blacklist (donc on ne pourras plus utiliser de proxy sur le net) sinon mais la c'est plus $%#&! pour toi tu peut entrer les adresses a la main dans les adresses a interdire (dans la config de danguardian) ou derniere solution mais c la moin bonne à mon avis, tu vas avec ssh dans ton /etc/host avec vi et tu rajoutes (surtout ne suprime rien) des adresses bidon pour les proxy que tu veux interdire EX : 0.0.0.0 proxy.free.fr et la tu n'auras plus d'acces vers ce proxy... Mais si tu veux que cela soit efficace y faut te tapez tout les proxy d'internet a la mimine loool et la t'en a pour un bon moment... donc je ne peut que te conseiller de trouver la BL de DG pour les proxy et de l'activer. c le plus fiable ++ touf

par **lucyfire** » 24 Fév 2004 15:14

si tu m'envoi ton mail en PM, je passe la mienne de liste, en domaine et urls. rajoutes déjà ça dans ton rc.firewall après la redirection dans vers squid: /sbin/iptables -A INPUT -p tcp -i $GREEN_DEV --dport 800 -j DROP /sbin/iptables -A INPUT -p tcp -i $GREEN_DEV --dport 3128 -j DROP /sbin/iptables -A INPUT -p tcp -i $GREEN_DEV --dport 8000 -j DROP /sbin/iptables -A INPUT -p tcp -i $GREEN_DEV --dport 8001 -j DROP ++ lcf _________________ "L'ordinateur est un appareil sophistiqué auquel on fait porter une housse la nuit en cas de poussière et le chapeau durant la journée en cas d'erreur" P. Bouvard

par **tomtom** » 24 Fév 2004 15:16

Ce n'est pas au niveau de dans qu'il faut jouer.. Dans ne voit meme pas passer les requetes vers ce prxoy, puisque ca va sur le port 3128. Or avec la conf IPCop, les paquets vers le port 80 (et eventuellement 443) sont redirigés de manière transparente vers le proxy (squid et dans), mais le retse par sur le net sans filtrage aucun... C'est donc à ce niveau là qu'il faut bloquer ! Pour ton soucis, ouvre une ligne de commande sur ipcop et tapes : iptables -I FORWARD -p tcp --dport 3128 -j DROP ca va bloquer ! t.

par **neo_hijacker** » 24 Fév 2004 15:20

Exact j'ai rajouté proxy.free.fr dans les blacklists et ca n'a rien changer. Je vais bloquer le 3128 en sortie et le 8080 et je vais voir ce que cela donne. PS :Heu il n'y a pas moyen plutot que de rejeter le port, de rediriger les requetes vers une unique page web ? Ca parrait farfelu mais j'ai envie que ca tombe sur la page d'interdiction de Dansguardian ^^

par **tomtom** » 24 Fév 2004 15:26

ben si, tu l'envoie vers squid comme pour le 8080 iptables -I PREROUTING -p tcp --dport 3128 -i $IFACE_GREEN -j REDIRECT --to 127.0.0.1:800 (je crois que c'ets 800 le port, je ne suis pas sur, peut etre 3128 ou 8080...) Verifie dans les lignes de redirections de squid... t.

par **neo_hijacker** » 24 Fév 2004 16:27

J'ai le droit a ca avec ta commande : <a href="mailto:root@ipcop:~">root@ipcop:~</a> # iptables -I PREROUTING -p tcp --dport 3128 -i $IFACE_GREEN -j REDIRECT --to 127.0.0.1:8080 Warning: wierd character in interface `-j' (No aliases, :, ! or *). Bad argument `REDIRECT' Try `iptables -h' or 'iptables --help' for more information. que faire ?

par **tomtom** » 24 Fév 2004 16:57

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> <a href="mailto:root@ipcop:~">root@ipcop:~</a> # iptables -I PREROUTING -p tcp --dport 3128 -i $IFACE_GREEN -j REDIRECT --to 127.0.0.1:8080 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> oua j'ai besoin d'une sieste moi <IMG SRC="images/smiles/icon_wink.gif"> iptables -t nat -I PREROUING -p tcp --dport 3128 -i $IFACE_GREEN -j DNAT --to 127.0.0.1:8080 warning : $IFACE_GREEN correspond... à ton interface green ! 8080 correspond au port d'ecoute du proxy sur ton ipcop (a verifier donc... ca risque d'etre 800 ou 3128...) t.

par **neo_hijacker** » 24 Fév 2004 20:12

Maintenant j'ai ca : <a href="mailto:root@ipcop:~">root@ipcop:~</a> # iptables -t nat -I PREROUING -p tcp --dport 3128 -i $IFACE_GREEN -j DNAT --to 127.0.0.1:8080 Warning: wierd character in interface `-j' (No aliases, :, ! or *). Bad argument `DNAT' Try `iptables -h' or 'iptables --help' for more information.

par **tomtom** » 24 Fév 2004 20:46

ne fais pas des copier/coller betement ! J'ai ecrit PREROUING au lieu de PREROUTNG et tu l'as recopié <IMG SRC="images/smiles/icon_lol.gif"> Ca risque pas de fonctionner <IMG SRC="images/smiles/icon_wink.gif"> t.

par **Gesp** » 24 Fév 2004 21:48

Et remplace le $IFACE_GREEN par $GREEN_DEV $IFACE c'est l'interface red, qu'elle soit ppp0, tun0,tap0, eth1,eth2 ou eth3 <IMG SRC="images/smiles/icon_biggrin.gif">

par **neo_hijacker** » 26 Fév 2004 01:58

Lol exact j'avais pas fait attention a l'orthographe de PREROUTING <IMG SRC="images/smiles/icon_biggrin.gif"> Mais bon ca ne marche toujours pas <a href="mailto:root@ipcop:~">root@ipcop:~</a> # iptables -t nat -I PREROUTING -p tcp --dport 3128 -i $GREEN_DEV -j DNAT --to 127.0.0.1:8080 Warning: wierd character in interface `-j' (No aliases, :, ! or *). Bad argument `DNAT' Try `iptables -h' or 'iptables --help' for more information.

par **Franck78** » 26 Fév 2004 04:11

Je confirme que ca marche MAIS si GREEN_DEV est définie. Ce qui n'est pas le cas sous la console.... iptables -t nat -i $GREEN_DEV -I PREROUTING -p tcp --dport 3128 -j DNAT --to 127.0.0.1:8080

par **tamega** » 26 Fév 2004 14:16

Salut est ce qu'il est possible que tu me donnes la methode a suivre pour installer DG sur IPCOP j'ai la version 1.3.0 de IPCOP et la dansguardian-2.6.1-5-on-ipcop-1.3.tar de DG <IMG SRC="images/smiles/icon_biggrin.gif">

Faille de sécu dans Dansguardian

Qui est en ligne ?