Snort loopback

par **everest** » 29 Août 2003 11:27

Bonjour, Je viens d'obtenir plusieurs log avec Snort 2.0.1 du style : bad-traffic loopback traffic 127.0.0.1:80 -> 62.147.188.48:1436 <IMG SRC="images/smiles/icon_confused.gif"> bad-traffic loopback traffic 127.0.0.1:80 -> 62.147.188.48:1008 ... Est ce que quelqu'un sait ce que c'est, d'ou ca vient et comment y remedier ? NEMESIS y a deja fait allusion sur le forum mais il n'a pas donné de réponse <IMG SRC="images/smiles/icon_bawling.gif"> Merci pour votre aide.

par **nemesis** » 29 Août 2003 11:36

bh apparement dixit tomtom c'est du ipspoofing (y en a un qui essaye de faire croire à ipcop que c'est lui même) or ceci est normalement bloqué par les règles d'antispoof (la 1.2 le fait en tout cas je crois!). pour y remédier (ie retire ce logs de snort) je dois avouer que je me suis pas posé encore la question par contre je me suis farcis un mail a <a href="mailto:abuse@free.fr">abuse@free.fr</a> car dans mes logs j'ai un paquet d'ip fixe de chez free et dc je leur ai demandé de bien vouloir signaler à leur utilisateurs le problème.

par **tomtom** » 29 Août 2003 11:40

Ca c'est clairement un spoofing d'adresse source, avec une ipée reservée au loopback et en plus un port souvent ouvert sur des firewall non statefulls.... Bref, du boudin.... Par contre, il faudrait verifier que IPCop bloque ceci, en ajoutant les règles d'antispoofing d'antolien (Je ne sais pas si la 127.0.0.0) T.

par **everest** » 29 Août 2003 11:47

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-08-29 11:36, nemesis a écrit: bh apparement dixit tomtom c'est du ipspoofing (y en a un qui essaye de faire croire à ipcop que c'est lui même) or ceci est normalement bloqué par les règles d'antispoof (la 1.2 le fait en tout cas je crois!). pour y remédier (ie retire ce logs de snort) je dois avouer que je me suis pas posé encore la question par contre je me suis farcis un mail a <a href="mailto:abuse@free.fr">abuse@free.fr</a> car dans mes logs j'ai un paquet d'ip fixe de chez free et dc je leur ai demandé de bien vouloir signaler à leur utilisateurs le problème. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Etant un petit nouveau dans le domaine, je vais peut etre poser une question bete mais....c'est quoi exactement du ipspoofing....c'est dangereux ? PS : Je n'ai pas ipcop mais shorewall ! Que dois je faire avec mon shorewall pour ne plus avoir d'ipspoofing ? Quelles sont les regles d'antispoofing ? Merci d'avance.

par **tomtom** » 29 Août 2003 11:55

ALors dans l'ordre.. Du IP Spoofing, c'est toute operation qui consiste à modifier dans les paquets ip les adresses sources et/ou destination. Cela peut avoir plusieurs objectif, franchir un firewall en est un. Sous shorewall je ne sais pas bien faire les règles. Attention, Snort detecte l'attaque, il est tout à fait possible que le firewall ait bloqué les paquets quand même, cela ne veut pas dire du tout que les paquets soient passés ! Les règles consistent à rejeter les paquets arrivant sur l'interface externe et utilisant une ip interdite comme ip source et/ou destination (ip privée, ip de loopback, ip mlticast/broadcast (surtout comme source !) ... ) Voila, encore une fois, même s'il n'y a pas de règle exeplicite pour bloquer ça, il y a de grandes chances que tu ne sois pas vulnerable, car souvent les règles netfilter sont basées sur des interfaces plutot que des ip, donc ces paquets seraient surement rejetés de toutes façon. Tu dois pouvoir voir ça si tes règles sont correctes dans les logs (/var/log/messages.log ou kernel.log) T.

par **everest** » 29 Août 2003 12:01

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-08-29 11:55, tomtom a écrit: ALors dans l'ordre.. Du IP Spoofing, c'est toute operation qui consiste à modifier dans les paquets ip les adresses sources et/ou destination. Cela peut avoir plusieurs objectif, franchir un firewall en est un. Sous shorewall je ne sais pas bien faire les règles. Attention, Snort detecte l'attaque, il est tout à fait possible que le firewall ait bloqué les paquets quand même, cela ne veut pas dire du tout que les paquets soient passés ! Les règles consistent à rejeter les paquets arrivant sur l'interface externe et utilisant une ip interdite comme ip source et/ou destination (ip privée, ip de loopback, ip mlticast/broadcast (surtout comme source !) ... ) Voila, encore une fois, même s'il n'y a pas de règle exeplicite pour bloquer ça, il y a de grandes chances que tu ne sois pas vulnerable, car souvent les règles netfilter sont basées sur des interfaces plutot que des ip, donc ces paquets seraient surement rejetés de toutes façon. Tu dois pouvoir voir ça si tes règles sont correctes dans les logs (/var/log/messages.log ou kernel.log) T. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Merci pour les infos....je vais me pencher sur la chose <IMG SRC="images/smiles/icon_smile.gif">

par **everest** » 29 Août 2003 17:17

J'ai jeté un coup d'oeil dans mes log et malheureusement je n'ai aucune trace du trafic mentionné par Snort. <IMG SRC="images/smiles/icon_bawling.gif"> Je ne sais donc pas si ca passe ou non...ca reste un mystere pour moi. J'ai egalement regardé ce qu'on raconte a propos de cette alert sur le site de Snort et c'est pas beaucoup mieux.... J'aimerais bien pouvoir trouver une solution car je recois des alert environ toutes les 2 minutes <IMG SRC="images/smiles/icon_cussing.gif"> et c'est pas cool... Si vous avez une solution au probleme....je suis preneur <IMG SRC="images/smiles/icon_smile.gif"> Merci E. <IMG SRC="images/smiles/icon_bawling.gif">

par **nemesis** » 29 Août 2003 17:27

je suis dans le même cas j'essayerai une analyse poussée ce soir là je suis au boulot.

par **archi** » 29 Août 2003 17:45

Mmmh... Etes vous sûr que vous n'etes pas la source de ces alertes? Ca m'etonne fortement que votre fai ne bloque pas ces adresses sources.. c le b.a ba. sauf si... Ca me rappele les alertes de spoof sortant sur un fw alors qu'en fait c'etait ce c** de NT qui prenait l'adresse IP de l'interface 1 alors qu'il parlait sur l'interface 2. c'est tjrs le cas pour ce NT d'ailleurs...

par **nemesis** » 29 Août 2003 17:56

j'ai pas de nt. j'ai pas changé de config réseau. et c tt nouveau (une semain eenviron).

par **Argenlos** » 30 Août 2003 08:50

Pareil, cela ne fait que 4 jours que ça à debuter, avant rien, et ma configuration reseau est toujours la même.

par **nemesis** » 30 Août 2003 11:55

juse par curiosité tu es chez quel provider, sur kel type d'abonnement et d'ou vienne tes allertes? (fai d'origine) moi c free degroupe et les sources sont chez free

par **mOuNs044** » 30 Août 2003 12:51

BJ, g moi aussi un soucis du même type : Date: 08/30 12:46:57 Nom: BAD TRAFFIC loopback traffic Priorité: 2 Type: Potentially Bad Traffic Informations sur l'adresse IP: 127.0.0.1:80 -> 62.147.xxx.xxx:1353 Références: aucune entrée trouvée SID: 528 accés FREE adsl 512k cela pourrait-il venir de chez eux ou y'a pb dans notre propre config ? parce que jusqu'a maintenant j'avais pas eu de pb ( je ne m'étais pas trop penché sur la question non plus.... <IMG SRC="images/smiles/icon_smile.gif"> pour la provenance g pas pigé la question <IMG SRC="images/smiles/icon_confused.gif">

par **nemesis** » 30 Août 2003 13:05

ipcop permet de faire du reverse dns sur les adresses et en fait je remarque que ces loopback apparaissent en général apres un ping avec icmp ping rootkit2 et ces ping viennent majoritairement d'adsl et po mal st chez free

par **Argenlos** » 30 Août 2003 13:11

Je suis chez free 512k Bon j'ai placer l'antispoofing que nous propose Antolien ( ds le fichier rc.firewall)sur sont site, apres reboot, c'est toujours pareil grrrr Il faut bien placer les lignes de la doc d'Antolien juste avant "exit 0", ou ailleur? J'ai encore des logs qui s'ajouter dans le journal de detection d'intrusion, c'est normal? Le c.. qui m'envoie ces Mer... vient de là: ********************************************* OrgName: Internet Assigned Numbers Authority OrgID: IANA Address: 4676 Admiralty Way, Suite 330 City: Marina del Rey StateProv: CA PostalCode: 90292-6695 Country: US NetRange: 127.0.0.0 - 127.255.255.255 CIDR: 127.0.0.0/8 NetName: LOOPBACK NetHandle: NET-127-0-0-0-1 Parent: NetType: IANA Special Use Comment: Please see RFC 3330 for additional information. RegDate: Updated: 2002-10-14 OrgAbuseHandle: IANA-IP-ARIN OrgAbuseName: Internet Corporation for Assigned Names and Number OrgAbusePhone: +1-310-301-5820 OrgAbuseEmail: <a href="mailto:abuse@iana.org">abuse@iana.org</a> OrgTechHandle: IANA-IP-ARIN OrgTechName: Internet Corporation for Assigned Names and Number OrgTechPhone: +1-310-301-5820 OrgTechEmail: <a href="mailto:abuse@iana.org">abuse@iana.org</a> # ARIN WHOIS database, last updated 2003-08-29 19:15 # Enter ? for additional hints ******************************************* Pour info, mon ipcop a son interface rouge sur un modem ethernet. _________________ Petit deviendra grand...peut être

Snort loopback

Qui est en ligne ?