Ipcop 1.4a12 et lib ipt_string ACTIVEE

par **nomat** » 03 Mars 2004 17:17

Voili voilou, Aprés les questions voici les réponses que j'ai trouvées. L'objectif est de filtrer des fichiers avec iptables afin que ce filtrage soit valable pour tous les protocole réseau. ll faut qu'ipcop dispose du module ip_string, on peut le vérifier avec la présence de la librairie libipt_string dans le répertoire /lib/iptables. Pour les versions 1.3 lucyfire avait fait une compilation avec tous ce qu'il faut voir post : <a href="http://www.ixus.net/modules.php?op=modload&name=Forum&file=viewtopic&mode=viewtopic&topic=4273&forum=2&start=6" target="_blank">http://www.ixus.net/modules.php?op=modload&name=Forum&file=viewtopic&mode=viewtopic&topic=4273&forum=2&start=6</a> sinon pour l'exemple je veux bloquer les fichiers : "cmd.exe" la régle donne : /sbin/iptables -I INPUT -j DROP -m string -p tcp -s 0.0.0.0/0 --string cmd.exe Cette régle bloque ce fichier du red vers le green, du green vers le red MAIS PAS du green au green. Voila pour les trouvailles, Sinon j'ai des questions qui sont toujours en cours et pour lesquelles vous pourriez m'aider. Probleme 1 : un fichier nommé par exemple acmd.exe est également bloqué MAIS il ne devrait pas. Je précise que ma régle iptables encadrée précédement la chaine à dropper par des guillemets : "cmd.exe" mais le probleme est alors qu'aucun filtrage n'est fait et le fichier passe sans probleme. Probleme 2 : comment fait on pour créer un log de ce que fait cette régle et où retrouve t on ce journal d'activité ????

par **nomat** » 03 Mars 2004 17:23

Cette partie est surtout destinée à belugha. Mais est à prendre en compte par tout le monde suite au post ci-dessus Le fais que je n'arrive pas à poster de sujet depuis hier venait du fait qu'en précisant le nom du fichier filtré : cmd.exe iptables devait bloquer le transfert meme si c'est du texte et nom un fichier. Donc à tous ATTENTION le filtrage est vraiment universel <IMG SRC="images/smiles/icon_lol.gif"> Bon sinon vu que je suis loin d'être un pro d'iptable si quelqu'un pouvait me conseiller une petite régle pour filtrer seulement du RED vers le GREEN ou sinon seulement des fichiers et pas du texte.

par **tomtom** » 03 Mars 2004 17:50

Je suis désolé de briser tes illusions, mais ceci risque fort de ne pas marcher longtemps... -Le module string de netfilter regarde simplement dans CHAQUE PAQUET si la chaine passée en paramètre est présente. - Vu que tu as travaillé sur la chaine INPUT, je suppose que tu dois utiliser un proxy (sinon, ce serait dans FORWARD qu'il aurait fallu faire). Tu peux bien sur regler le sens (avec -i interface d'entree) pour ajuster ton blocage... - Ce système est completement bancal car le protocole IP inclut de la fragmentation.. En clair, suppose que le nom de fichier soit coupé en deux, rien ne sera filtré ! De plus, le paquet contenant la chaine ets bloqué; mais les autres passent toujours, entrainant des communications non valides (car fragmentées, et pas avec tous les fragments !) Enfin, evidemment, toutu texte que tu telecharges contenant la string en question sera bloqué, car la connexion sera foutue à cause du fragment perdu <IMG SRC="images/smiles/icon_rolleyes.gif"> En conclusion, il existe un truc tres bien qui s'appelle DansGuardian, ou SquidGuard, qui font du filtrage de contenu et qui moyennant des regles bien posées, seront bien plus efficaces, moins gourmande et sans soucis pour faire ceci... Netfilter n'est pas fait pour faire du filtrage texte, sauf applications tres tres particulières (blocage des connexions des p2p par exemple, et encore la fiabilité ne doit surmement pas être tres grande...) t.

par **JaDiuM** » 03 Mars 2004 18:00

Bonjour, Tu peux même faire des choses comme celle-ci: iptables -A SnortRules -p udp -s $EXTERNAL_NET -d $HOME_NET --dport 518 -m string --string " è" -j LOG --log-prefix "SID313 " # "EXPLOIT ntalkd x86 linux overflow" bugtraq,210 classtype:attempted-admin sid:313 effectivement cela est joli, mais bien peser le pour et le contre (tomtom m'a devancé <IMG SRC="images/smiles/icon_bise.gif"> ),Iptables est censé gérer les couches basses du protocole IP, et la ce sont les couches superieur. Donc l'utiliser ponctuellement pour --string “c+dir” --string “cmd.exe” --string “default.ida” --string “Kazaa”, ça passe mais vaut mieux paramettrer snort en flexresp (couche haute c'est sont job). Cdt

par **nomat** » 03 Mars 2004 18:26

JaDium peux tu me décrire ce que fai la régle que tu as écrite car je n'ai pas tout compris... Sinon pour le filtrage je n'ai pas l'intention d'y mettre une liste énorme, juste he bien les fichiers que tu as cité avec en plus tous les extensions pif et scr qui véhiculent des virus chez moi ce sont les seuls qui arrivent à passer au travers de l'antivirus Sinon pour ma culture generale de ce que vous m'avez dit le nom d'un fichier et le fichier lui même se trouve dans la meme couche reseau qu'une chaine de texte ???? N'y a t il pas un moyen de les différencier

par **Gesp** » 04 Mars 2004 00:12

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>Sinon pour ma culture generale de ce que vous m'avez dit le nom d'un fichier et le fichier lui même se trouve dans la meme couche reseau qu'une chaine de texte ???? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Pas vraiment. Ce qui a été dit, c'est que au niveau de la couche ip, chaine de texte ou nom de fichier n'a pas de sens. A ce niveau, le réseau tranfert des paquets de données respectant les trames ip et ce que donne comme sens les couches supérieures à ces données est totalement inconnu.

par **Franck78** » 04 Mars 2004 01:03

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-03-03 23:12, Gesp a écrit: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>Sinon pour ma culture generale de ce que vous m'avez dit le nom d'un fichier et le fichier lui même se trouve dans la meme couche reseau qu'une chaine de texte ???? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> C'est ancien mais ca éclaircira ta compréhension de ce qu'est le réseau. Concis: <a href="http://www.01net.com/article/191847.html" target="_blank">http://www.01net.com/article/191847.html</a> Détaillé <a href="http://membres.lycos.fr/teki/reso/mosi.html" target="_blank">http://membres.lycos.fr/teki/reso/mosi.html</a>

Ipcop 1.4a12 et lib ipt_string ACTIVEE

Qui est en ligne ?