Сами Камкар (Samy Kamkar (https://en.wikipedia.org/wiki/Samy_Kamkar)), исследователь безопасности, известный созданием (https://samy.pl/) различных замысловатых устройств для проведения атак, таких как кейлоггер в USB-зарядке телефона, представил свою новую разработку - PoisonTap (https://samy.pl/poisontap/). В рамках проекта PoisonTap подготовлена практическая реализация атаки BadUSB (https://www.opennet.me/opennews/art.shtml?num=40309), позволяющая получить доступ к прокэшированным в браузере сессионным cookie и параметрам аутентификации при подключении к USB-порту компьютера специального устройства. Атака применима к заблокированным компьютерам и может быть совершена когда владелец на время отлучился от своего ПК, оставив его с заблокированным экраном без присмотра.
Для атаки используется самый дешёвый одноплатный компьютер Raspberry Pi Zero, который продаётся по цене в пять долларов, на котором загружен дистрибутив Linux, настроенный (https://github.com/samyk/poisontap/blob/master/pi_startup.sh) для эмуляции сетевого адаптера по USB и по DHCP объявляющий себя в качестве шлюза для локальной подсети 128.0.0.0. При подключении такого устройства к USB-порту, компьютер жертвы воспринимает его как новую сетевую плату, через которую доступен шлюз для обращения к локальной сети, охватывающей половину адресного пространства (устройство представляется как 1.0.0.1 с сетевой маской 128.0.0.0). Новый сетевой интерфейс менее приоритетен на компьютере жертвы, но так как подсеть задана явно, то подпадающий под эту подсеть трафик уходит через новый сетевой интерфейс независимо от наличия более приоритетного шлюза по умолчанию.
На устройстве запускается подставной DNS-сервер, выдающий фиктивные ответы для запросов имён хостов, что позволяет переадресовать к PoisonTap все запросы и сохранить в кэше привязку доменов к сторонним адресам, в том числе организовать доступ к внутренним хостам локальной сети при помощи техники DNS rebinding (https://en.wikipedia.org/wiki/DNS_rebinding).
Для сбора данных на устройстве PoisonTap запускается специальное приложение (https://github.com/samyk/poisontap) с реализацией простого http-сервера, который перехватывает все незашифрованные запросы по HTTP с компьютера жертвы. Если на компьютере пользователя остаётся открытым web-браузер, то с большой долей вероятности, некоторые страницы периодически обращаются во вне, например, для обновления рекламных блоков, статистики, AJAX-вставок и т.п. Перехватив такое обращение программа атакущего обрабатывает его и генерирует ответ, в зависимости от запроса содержащий специально оформленный HTML или JavaScript.
Через подстановку в ответ скрытых блоков iframe организуется обращение к списку популярных сайтов из web-браузера жертвы (используется (https://github.com/samyk/poisontap/blob/master/alexa1m.sh) список из миллиона сайтов от рейтинга Alexa). Если пользователь ранее открывал участвующий в переборе сайт и у него прокэшированы параметры сеанса, то браузер вместе с запросом отправит имеющиеся cookie, а так как трафик контролируется на устройстве атакующего, незашифрованные cookie будут перехвачены. В том числе перехватываются cookie для сайтов, ранее открытых по HTTPS, если данные cookie были установлены без флага Secure (https://www.owasp.org/index.php/SecureFlag), т.е. отправляются и для HTTPS и для HTTP.
Кроме того, в перехваченном трафике выявляются запросы популярных JavaScript-библиотек через типовые сети доставки контента, которые подменяются на варианты с "бэкдором (https://github.com/samyk/poisontap/blob/master/backdoor.html... который может применяться для продолжения атаки после отсоединения USB-устройства. Так как подменённые JavaScript-библиотеки оседают в кэше, то в дальнейшем, при открытии пользователем страниц, запрашивающих JavaScript-библиотеки через CDN, будет запущен подставленный в процессе атаки код, передающий информацию о cookie, установленных для открываемого сайта.URL: https://samy.pl/poisontap/
Новость: http://www.opennet.me/opennews/art.shtml?num=45510
Это просто праздник какой-то
Силён шельмец!
Молодец, нечего разработчикам ОС делать вид, что всё до сих пор ок
Линуксоиды пока заняты попытками заткнуть rowhammer в софте. Хоть это и похоже на "ты что. сбил автомобилем вертолет?!", но эти чего доброго еще и смогут.А так на самом деле легко лечится. Не ставишь себе udev в пингвине, а IP настраиваешь статикой. И у тебя нет плагнплея. Нет сетевого интерфейса. И вообще - если у тебя не было usb-сетевок то даже модуль придется вручную сначала вгрузить. На чем атака и встрянет. Ну в общем безопасность и удобство порой таки оказываются по разную сторону баррикад. В том плане что удобно может оказаться не только пользователю но и атакующим.
У самого небось дефолтная бубунта стоит?
>но так как подсеть задана явно, то подпадающий под эту подсеть трафик уходит через новый сетевой интерфейс независимо от наличия более приоритетного шлюзаТ.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.
> Т.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.Настройки приоритета влияют только на одинакове префиксы. Именно поэтому он не пытается подменить умолчательный шлюз, а замахивается только на половину IPv4.
Т.е. если бы он пытался подменить дефолтный шлюз, то у него бы не получилось из-за приоритета.
У меня на фре такое точно не проканает: адаптер то оно подхватит но дхцп клиента на нём не запустит и он будет висеть не сконфигуреный дальше.
Собственно тоже самое было когда я недавно USB сетевуху подключал посмотреть что оно из себя представляет.
Да, такого не будет.
Это если оно его хотя бы опознает.
Скорее всего как ueХ будет.
Там стандартный драйвер для юзби, оно много где так. Такой же драйвер для всяких 4г модемов в ndis режиме.
тебе на фре надо надеяться панику не поймать от USB-внезапности
Уже лет 5-7 как пофиксили, а красноглазики все плачут.
Я тебя наверное удивлю, но у меня в линухе тоже самое.
> Я тебя наверное удивлю, но у меня в линухе тоже самое....ибо нефиг.
> ...ибо нефиг.Что, rowhammer(.js) до вас еще не добрался? :)
тссссс. зачем ты просвещаешь просвещенного адепта фрях научившегося отключать dhcp
Так дистров линуха дохера, указывай конкретно в каком оно не подхватится дхцп клиентом автоматом.
В любом, где это не настроено. Или ты не в курсе, что любой дистр линукса можно настраивать и dhcp клиент вообще не запускать? И даже если говорить о дефолтной инсталляции какого-нибудь user friendly дистра, то на этапе установки обычно задается вопрос о настройках сети, где можно указать статический ip без всякого dhcp.
Тут всё не однозначно.
На этапе установки ты настраиваешь имеющиеся адаптеры, а во время работы настроенной системы у тебя появляется новый адаптер, который ты не настраивал.
Вот на этом моменте я хз как поведут себя разные дистры.
Во всех номральных осможно отключить dhcp клиент, и что?
Речь о дефолтном состоянии системы. Скорее всего, дефолт на компе у жертвы - вообще не линукс и т д.
ЗЫ: припоминается, что проблема незначительная (и фиксить незачем), т к в реале трудно эксплуатировать. НПусть парень запустит кампанию на кикстартере, может и мотивация у разработчиков ОС появится. Хотя, достаточно слить свои наработки в сеть.
Вы таки совершенно ничего не понимаете в тролинге адептов FreeBSD.А если серьёзно то просто поставил на место адепта Бзди. Алсо, в венде это тоже всё отключается, просто через одно место. За Вендоз 10 не скажу.
Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.
> Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.А зачем он нужен, если можно просто "поднять" интерфейс ifup. Или вы так часто суёте в машину новые устройства?
> У меня на фре такое точно не проканает: адаптер то оно подхватит
> но дхцп клиента на нём не запустит и он будет висеть
> не сконфигуреный дальше.Wow. Such годный вброс! So many отзывов-подгораний у лапчатых )
Чем это лучше просто подключения к сетевухе? Или это нужно только для устройств с вайфаем?
действительно, воткнул вместо родного эзернет какой-нибудь ноутбук с 3g и dhcp и пустил через него весь трафик с компа. Когда теперь все знают про такие флехи-компьютеры, то подключение другого кабеля более опасная штука. Заблокировать экран мало теперь прежде, чем выйти из комнаты: нужно ещё usb и сетевые порты отключить, а комп опечатать. Биос думаю у всех давно запаролен и в качестве единственного boot устройства стоит нужный жёсткий диск.
В общем 152 инструкцию фсб-фапси пора расширять...
> Заблокировать экран мало теперь прежде, чем выйти из комнаты:Оптимисты еще не прочитали про чтение экрана даже без его видимости по излучению. А реалисты сделали из бага фичу - какой-то чувак додумался транслировать эпловским монитором AM-радиопередачу, во как.
// заодно програмер теоретически может утащить инфо с любого компа если ему там можно программы запускать, если он достаточно креативен :)
> Чем это лучше просто подключения к сетевухе?Тем что это потенциально может сделать вообще любое юсб устройство. Тем более что в большинстве их них есть микроконтроллер и прошивка и оно на самом деле может изображать из себя что угодно. Захочет твоя usb сетевка стать клавиатурой - и станет. И если у тебя был рутовый терминал открыт, а клава подцепилась - ну это залет. PoC нагревающие винду этим методом уже даже были - фэйк клава пытается ребутнуть систему а потом в bios сменить настройки на загрузку. С флешки. Которую после этого и изображает. И вот уже система грузится с клавы, которая уже флешка. В общем, такой себе автомобиль-самолет как у фантомаса.
Пора в xscreensaver добавлять блокировку всех новых девайсов при залоченном сеансе
Какой скринсейвер? Купил китайскую флеху — прощай пароли.
> Пора в xscreensaver добавлять блокировку всех новых девайсов при залоченном сеансеТо ли дело взять не дешманско-лоховскую флеху в которой сэкономили на всем чем можно, а фирменную какую. Крутую. С эмблемой ХайСекурности. В идеале чтоб вендор было Microsoft или Intel. Им то уж можно доверять, не то что китайским ноунеймам
Проблема в том, что приведённое в статье устройство собрано из натурального мусора за три копейки. То есть грань между "купить китайскую флеху за 300р." и "купить брендовую флеху с ПРЕМИУМ троянами от Sony" теперь практически отсутствует. А на компонентах всегда можно сэкономить взвинчивая заявленный объём в 50 раз и сжимая данные каким-нибудь gzip.
> объём в 50 раз и сжимая данные каким-нибудь gzip.На пути этого хитрого плана есть загвоздка: видео, аудио и прочие фоты - не очень жмутся gzip-ом, поэтому на#$ка довольно быстро спалится :)
Слабак. Вот на выключенный ПК - это да.
> Слабак. Вот на выключенный ПК - это да.Intel ME может писюк и включить. И вообще, жил был компьютер. При уходе в suspend to ram - он засыпал. Но иногда ктулху все-таки просыпался. Включая ATX power supply. Сам. Исследование показало что PCI-e нынче бывает под напругой даже в дежурке, поэтому даже китайская сетевка может взять и врубить комп. Чтобы было больше лулзов, в куске китая WOL активен по дефолту и срабатывает на любой уникаст пакет, даже без magic.
> компьютер жертвы воспринимает его как новую сетевую плату,Даже на Винде это не прокатит. Или он через usb еще и драйвер скармливает системе?
И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?
> И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?Во-первых, не сетевой адаптер, а ОС. А во-вторых, речь-то о HTTP - где там "текущие соединения"?...
О-о, батенька. Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
Именно, именно соединения.
> Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
> Именно, именно соединения.Я подозреваю, что Вы намекаете на keep-alive aka переиспользование соединения с сервером для загрузки нескольких компонентов страницы... В таком случае Вы заблуждаетесь, если считаете, что эти соединения живут вечно. Там таймаут от десятков секунд до считанных минут.
а что такое тайм аут?
точнее, при каких условиях он наступает?
> а что такое тайм аут?
> точнее, при каких условиях он наступает?При отсутствии передачи данных в соединении в течение определённого времени, соединение закрывается.
Википедия интереснее пишет про keep-alive: https://en.wikipedia.org/wiki/HTTP_persistent_connection
HTTP 1.0
…
This will continue until either the client or the server decides that the conversation is over, and one of them drops the connection.Вообще не представляю эту логику. Таймауты логичнее, как в HTTP 1.1:
the default connection timeout of Apache httpd 1.3 and 2.0 is as little as 15 seconds[2][3] and just 5 seconds for Apache httpd 2.2 and above
Уже есть USB<->Eth девайсы драйвера для которых предустановлены в шиндофсе.
Ага. Вот и попробуйте.
С драйверами иногда танцевать приходится.
Сами попробуйте, Windows начиная с 7ки RNDIS подхватывает без всяких драйверов и вопросов.
> С драйверами иногда танцевать приходится.Для большинства сетевок подходит стандартный драйвер стандартного класса устройств. На самом деле эти драйверы есть в большинстве ОС.
Там же сказано - сеть задаётся явно.
У более специфичных сетей приоритет выше, чем у дефолта. Так в ip сетях работает маршрутизация.
> драйвер скармливает системе?Стандартный класс устройств - дрова в систему встроены почти везде много лет.
Мутный способ, нет 100% уверености что удастся что-то полезное вытащить. Ну и selfdestroy coockies - наше все.
И в зоне риска только адреса:
HostMin: 0.0.0.1 0 0000000.00000000.00000000.00000001
HostMax: 127.255.255.254 0 1111111.11111111.11111111.11111110Хотя никто не мешает поменять диапазон.
Есть же китайские фейковые флешки с конденсаторами внутри которые сжигают железо разрядом. От таких приколистов ни один софт не поможет.
> Есть же китайские фейковые флешки с конденсаторами внутри которые сжигают железо разрядом.
> От таких приколистов ни один софт не поможет.А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе со всякими другими устройствами. Так то ты сможешь вытащить оттуда после этого? Ничего? А какой тогда смысл? Насолить разве что?
> А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе
> со всякими другими устройствами. Так то ты сможешь вытащить оттуда после
> этого? Ничего? А какой тогда смысл? Насолить разве что?На хабре даже пример такого usb-destructor'а был. Идея проста как тапок: девайс накачивает батарею кондеров от 5V питания. Бах разрядом по линиям данных. Пациент готов.
А зачем? Ну например - отличный пранк над "клептоманами". Вот так оставишь флешку, у нее отрастут ноги. В этом случае - приделавший ноги потом будет очень не рад что взял чужое, потому что выбитый чипсет обходится значительно дороже флешки.
Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная авторизация настроена, хрен он что получит.
Считаю, что уровень опасности минимальный.
> Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная
> авторизация настроена, хрен он что получит.
> Считаю, что уровень опасности минимальный.Ты забыл про хомячков? Некоторые даже, о ужас, записывают все пароли на стикерах, которые потом крепят к монитору... Тут даже ничего подключать не надо.
Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант. Во всяком случае, пока речь о всяких шпиёнах не идёт.
ПК использовать как терминал, а сервачок спрятать под замок
> Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую
> защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант.
> Во всяком случае, пока речь о всяких шпиёнах не идёт.В принципе да, я частично согласен. Но опять же - если ни у кого нет прямого доступа к вашему компьютеру. Иначе всё это бесполезно. Лучше уж тогда носить с собой блокнотик в нагрудном кармане.
Не очень понятно, как он там что из себя будет изображать при повальном переходе на HTTPS.
а если у меня драйверов на эту хрень нет?
> а если у меня драйверов на эту хрень нет?так в винде(vista+) по умолчанию стоит искать все драйвера на сайте Микрософт. Вы даже не нужны за компьютером. Проверьте свою политику установки драйверов: Пуск -Устройста и принтеры-в Устройствах найдите имя своего компьютера и правой кнопкой мыши на нём щёлкните и выберите "Параметры установки устройств". Скорей всего автоматически идёт поиск драйверов у Микрософта. Другое дело, что есть такой драйвер уже...
Интересно, поможет в таком случае отключение службы Plug and Play или нет. Как вообще бороться с новыми подключениями... Тор конечно выход от таких вещей, но не во всяких корпоративных вещах тор достаточен для работы
А если у анонима Linux
gpedit.msc > Computer Configuration > Administrative Templates > System > Device Installation > Device Installation Restrictions > Prevent installation of devices not described by other policy settings.А голожопикам не повезло, да.
> gpedit.msc >>>>>> Prevent installation of devices not described by other policy settings.
> А голожопикам не повезло, да.Это был привет из самой глубины этсамой? ;-)
Так-то http://git.altlinux.org/gears/a/alterator-ports-access.git (желающие могут адаптировать правила для своего udev).
> Это был привет из самой глубины этсамой? ;-)Как скажите. Это относилось ко всякого рода "шарашкиным" конторам, где нету настроенных групповых политик/всем плевать на безопасность. Не сомневаюсь что у онтопика это тоже можно сделать/настроить. Мой комментарий относился к 2.83, про шутки с pnp и прочим. Как оно работает по-умолчанию мало интересно, если это можно поменять штатными средствами.
Чтоб ты знал - групповые политики довольно неэффективная и мягкотелая штука. Локальный юзер млжет без проблем на них забить, если они ему не нравятся. И наверное чтобы упомянутый гаджет сработал - локальный юзер должен его притащить и подключить.
> Так-то http://git.altlinux.org/gears/a/alterator-ports-access.git (желающие могут
> адаптировать правила для своего udev).Кстати кто там Поттеринга ругал за /sys прибитый? Вот в альте оказывается /sys тоже на гвозди прибит вот прямо к этой локации. А хотя-бы и в скрипте :).
Независимо от используемой ОС? Серьёзно?
Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...
Вообще не вижу, в чем проблема.
Ubuntu автоматом поднимает через Network Manager.
> Ubuntu автоматом поднимает через Network Manager.С этим легко побороться. Достаточно в соединениях Network Manager создать сеть с настройками:
1. на закладке "Параметры IPv4" - способ настройки "Автоматически (DHCP)"
2. на закладке "Ethernet" не был указан MAC адрес
3. на закладке "Общие" снята галочка "автоматически подключаться к этой сети"
4. дать имя соединения, к примеру "DHCP"
Тогда при втыкании RJ45 или usb модема соединение автоматически не устанавливается и него нужно ткнуть мышью под именем сетевой карты.
> Независимо от используемой ОС? Серьёзно?
> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
> "автозапускают"...
> Вообще не вижу, в чем проблема.Для тебя приличная ОС это DOS. надо понимать.
>> Независимо от используемой ОС? Серьёзно?
>> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
>> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
>> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
>> "автозапускают"...
>> Вообще не вижу, в чем проблема.
> Для тебя приличная ОС это DOS. надо понимать.просто dhcp зло, всё нужно статиком прописать, не прописал, не работает, а служба dhcp должно быть отключена. правда если используется VPN соединение, то без dhcp оно работать не будет скорей всего.
> просто dhcp зло,Автомобили тоже зло - на них в ДТП попасть можно.
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...Wendoz, если не настраивать. Не все же в этом мире компьютерные гики, подумай об обычных пользователях. Для нас с тобой проблем нет, конечно. А вот например для моей бабушки, которая активно пользуется компьютером, проблема есть.
Вряд ли бабушке угрожает эта атака
> Вряд ли бабушке угрожает эта атакаА тут сильно завсит от. Бабушки могут запросто таскать через 5 рук непонятные флешки и кликать на всякую фигню. И компьютер с виндой потом получается довольно загаженным, кстати.
Угу, как прихожу к ней - 20 вирусов одним AVZ собираю. Причём вирусы то смешные и даже не запускаются, ибо работают только в режиме DOS. Но всё же.
Во первых не уверен, что у меня гента сама подхватит эту "сетевуху".а во вторых - раз есть физический доступ к компу, кто запрещает воткнуться между кабелем и сетевухой? да, у малинки только 1 сетевой порт, но вроде ж были одноплатники с двумя... накрайняк можно и на ардуинке такое запилить - ethernet шилды копеечные, ничего особо делать не нужно - тупо дампить трафик (хоть весь, хоть с простейшим фильтром по порту) на SD карту... думаю, ардуинка справится
Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий диск.
Хреновина на витой паре подозрительна.
> Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий
> диск.
> Хреновина на витой паре подозрительна.машина, к которой есть физический доступ для посторонних, не может хранить тайны.
я подошел и вынял винт, подменил машину и т.д.
Никто к тебе не будет подходить — ты сам купишь девайс в соседнем DNS (куда его привезут от первого попавшегося китайского перекупщика, который меньше попросит).
угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в этом плане наиболее безопасна - там сэкономлено на всём, а масштабы производства таковы, что если приплачивать производителю за то, чтобы ещё что-то напихал - то и Крез разорится.
Бизнес по производству физических благ — самый низкоприбыльный. Если уж Microsoft переключился с корпоративного рэкета на торговлю задницей пользователя…
> угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в
> этом плане наиболее безопасна - там сэкономлено на всём,С другой стороны, недружелюбной фирмвари много то и не надо.
Отсюда вывод -- активные страницы, регулярно подгружающие рекламу -- зло, и подлежат уничтожению. Как, впрочем, и джаваскрипт.
Тю, это же обычный mitm. Ничего нового, кроме необходимости физического подключения к компу, не изобрели.
нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
а на деактивацию соответственно killall -SIGCONT
> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONTНайдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше всего!
> Только тогда пользователь будет ругаться, что музыка заткнулась...и торренты встали.
>> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
>> а на деактивацию соответственно killall -SIGCONT
> Найдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
> Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше
> всего!Вот как раз ругаться на продолжающуюся музыку
> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONTПроще. Отполз от компа - логофф.
Я вот что-то не совсем понимаю вот этот момент:
"На устройстве запускается подставной DNS-сервер, выдающий фиктивные ответы для запросов имён хостов"А почему это мой запрос по резолвингу имени должен идти на интерфейс 1.0.0.1/8?
Он же не изменял моего /etc/resolv.conf?А в целом очень красиво...)))
Не 1.0.0.1/8, а 1.0.0.1/1, что включает в себя, например, 8.8.8.8
он не пойдет к Вашему ресолверу если Вы с ресолвером в одной сети. Но запрос может пойти в MITM если в протоколе DHCP указан другой DNS и система обрабатывает изменения /etc/resolv.conf на лету.
> он не пойдет к Вашему ресолверу если Вы с ресолвером в одной
> сети. Но запрос может пойти в MITM если в протоколе
> DHCP указан другой DNS и система обрабатывает изменения
> /etc/resolv.conf на лету.ну тут проще. не использовать resolvconf и запретить изменение DNS по DHCP. А лучше дать права 444 /etc/resolv.conf
Он тебе его запушил
> Он тебе его запушилпонятно.
а если запретить на хосте сеть через юсб (например перекомпилить ядро и убрать все модули связанные с этим), то по идее атака сдохнет?
а ещё можно сетевой провод перетыкнуть в такую агрессивную сеть, с тем же эффектом
в виндус 10 днс резолвер обращается к днс серверам ТОЛЬКО согласно метрикам интерфейсов.
расходимся.
> в виндус 10 днс резолвер обращаетсяВ индус 10 вопрос безопасности мало кого интересует
В "виндус 10" была (как сейчас - не знаю) вот такая хрень: https://habrahabr.ru/post/264503/Поэтому, первое что я делаю на маршрутизаторе:
iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то серверу в интернете.
Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки DNS, вписывая туда DNS злоумышленника.
http://answers.microsoft.com/en-us/windows/forum/windows_10-...Здесь показано, что на резолв влияют метрики интерфейсов. Более того, это легко проверяется созданием разных туннелей и изменениями их метрик. Автор на хабре это не проверил, а все намного проще.
Дело не в том: нужен индус, не нужен индус. Кому интересны взломы неуловимых джо.
Знакомтесь, Big Data - она собирается с миллионов "неуловимых" Джо, для последующего майнинга.
>[оверквотинг удален]
> https://habrahabr.ru/post/264503/
> Поэтому, первое что я делаю на маршрутизаторе:
> iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports
> 53
> iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports
> 53
> Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то
> серверу в интернете.
> Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки
> DNS, вписывая туда DNS злоумышленника.При установке Google Chrome( сам его не использую) на Винде в дополнительных параметрах брандмауэра во входящих соединениях для файла Chrome.exe появляется включённое правило "Google Chrome (mDNS-In)" для протокола UDP и порта 5353. Пока не очень понимаю зачем гуглу,чтобы кто-то лез на мой компьютер на порт 5353 за днс запросами...
Предполагаю, что сам chrome лезет сам к себе с dns запросами на порт 5353, а вот затем эти запросы редиректятся к какому-то из сервисов гугл, не обязательно по порту 53 доступным, а возможно это другие порты. Скорей всего Гугл хочет, чтобы при использовании Chrome все dns запросы с него шли на сервера Google (например публичный днс гугла 8.8.8.8). Чтобы знать о всех днс запросах пользователях(есть конечно чудаки, которые сами делают подарок гуглу и прописывают в настройках TCP их днс сервер 8.8.8.8)
5353 - это порт mDNS (aka multicast DNS). Механизм публикации и поиска ресурсов в локалке такой. Вредность умеренная. Полезность тоже. Впрочем, если кто пользуется виндой - его такие мелочи вообще колыхать не должны. Зачем тебе прочные рамы для окон, если у тебя в доме дверь отсутствует? :)
Мне нравится, что современные ОС, считают, что "1.0.0.1 с сетевой маской 128.0.0.0" является стандартной практикой при раздаче по DHCP =)Что он будет делать, этот чел, для IPv6? Замаскирует биллиард адресов? Впрочем, все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было переизобрести. Поттерингу.
> все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было
> переизобрести. Поттерингу.Слыхала я, он уже. avahi. Мож, и обманули меня, конечно.
---Эппле шагает впреди, и Леннарт, та-а-акой маладой, ...
Старо. Атаке через FireWire уже несколько лет, причём, всё готово для практического применения.
Атаки через firewire уже N лет как неактуальны, во-первых из-за отмирания fireware, во-вторых из-за появления iommu. Современная ОС отсечёт все поползновения непонятной железки копаться в памяти.
А в firefox есть возможность запретить слать куки от HTTPS через HTTP? Т.е. форсировать флаг SECURE?
> А в firefox есть возможность запретить слать куки от HTTPS через HTTP?
> Т.е. форсировать флаг SECURE?HTTPS everywhere
Так ведь не поможет: этот троянский USB сам подставляет HTTP URL.
> Так ведь не поможет: этот троянский USB сам подставляет HTTP URL.Так ведь какой вопрос такой ответ :) Если более глобально - man iptables.
В нормальных ОС порты USB заблокированы по дефолту.
> В нормальных ОС порты USB заблокированы по дефолту... по причине отсутствия драйверов в этих BSD^Wнормальных ОС
> В нормальных ОС порты USB заблокированы по дефолту....запрещена возможность выхода в интернет, запуска программ, кроме рекомендованных чёрным властелином. И вообще всё..
Пора отключать питание usb
самостоятельно это не произойдёт
USB firewall
накорябать не слишком то и сложно, если что.
> USB firewall
> накорябать не слишком то и сложно, если что.Да просто настроить правильно Firewall, чтобы только оттуда-то и только на такие порты шли коннекты. Допустим на сетевой карте такой-то ip - вот и нужно разрешить коннекты во вне только с этого ip . В случае поднятия других сетей(bluetooh или USB-LAN) коннекты них не пройдут никуда.
А если в этой новой сети у платы будет точно такой же ipшник, что и в Firewall? Сам предложил решение, сам его отверг.Опять предложу - в Firewall должно прописано имя интерфейса, тогда точно даже при совпадении ip-шника в новой сети с основным трафик не пойдёт через новую сеть, даже если попытается.
В Винде нет привязки правил брандмауэра к сетевому интерфейсу . Но можно все новые сети считать "общественными", а для них запретить любые входящие и исходящие исключения(отключить все активные правила), а в правилах по умолчанию для всех пакетов выставить, что всех исходящие и входящие соединения по умолчанию запрещены.В дополнительных параметра брандмауэра это можно сделать. Ну или через netsh.
Ты не понял.Я бы даже пошёл дальше и написал Device Firewall - те чтобы при подключении новых устройств их можно было блокировать - не выделять ресурсы, запрещать DMA.
Собственно в данном случае оно прикидывается сетью и это фигня.
В другом случае у тебя могут быть случаи гораздо сложнее, когда мышка вдруг станет ещё и клавой и флешкой и вайфле адаптером и тп.
Или вот уже упоминавшаяся атака с чтением памяти через фаерварь.
Проблем несколько - сколько будет стоит создание и просто компоненты такого устройства?
Скажем чтобы мог обрабатывать со скоростью USB-2.0 (не говря уже про 3.0), напр.для HDD. Кто это создаст? Для дешевизны нужна ведь массовость... Не положит ли он сам туда backdoor? Не пролезил ли сам в прошику или vhdl компиляцию - с компа разработчика.
Более того, можно сказать что для удешевления и упрощения - будут использованны готовые USB модули в микросхеме, а значит к гадалке не ходи - там уже backdoor для такого случая. Впрочем, и без готового USB модуля - никаких гарантий... Скорей наоборот.
Про "любую ОС" загнули. В типичном линухе, но не бубунте-максималочке, даже сетевой адрес не появится на интерфейсе.А у меня в арчике даже сетевуха не взлетит, т.к. я обновил ведро, но ещё не ребутнулся - модули недоступны. 8)))))
> не ребутнулсяСразу видно арчевода.
man modprobe
man dhclient | ifup> В типичном линухе
Только у тебя. Если нравится каждый раз ручками всё делать - флаг тебе в руки.
Надо практику СБЕРа распространять - эбокситку во все разъемы.
> Надо практику СБЕРа распространять - эбокситку во все разъемы.Лол. На сколько практика широка?
Нужно просто перед блокировкой сделать в Firefox "File->Work Offline" и усё.
Хорошо, только надо срочно установить Network Manager или хотя бы Systemd, а то коллеги снова начнут говорить что на Линуксе у меня ничего не работает...
Наверняка все эти backdoor - заложенны специально, причём специально не сильно сложно эксплуатируемо: нашедшие хакеры - рады и пользуются, молча, антихакеры тоже рады и тщеславятся что нашли или законструировали, на ура я сделал рабочий тест-руткит - останавливаются, и считают что всё нашли и всё исправимо.
А, создатели USB протокола и оборудования потирают руки - успешно отвлекли внимание все тех от более глубинных backdoor, в очередной раз.
Причём тут USB? Это можно было и 20 лет назад через какой-нибудь COM сделать.
В них насколько не было заложенно настолько наглых, настолько публично доступных backdoor, я про приккинулся клавиатурой или мышкой или сетвухой и - готово!Но чатью верно. Вставил какой-нибудь COM/LPT-брелок или соответсвенно COM-модем
- активировав backdoor ЦПУ и мостов материнки, загрузил с того свою ОСь, тут же [удалённо]скопировал всё что нужно и/или изменил/подложил. Так, я же совсем не про это говорил.
https://wiki.gentoo.org/wiki/Allow_only_known_usb_devices