Несколько новых уязвимостей:
- В пакетном фильтре OpenBSD PF найдена (http://helith.net/txt/openbsd_4.3-current_pf_null_pointer_de...) уязвимость, приводящая к краху ядра системы при обработке специально оформленного IP пакета (к краху приводит сканирование через "nmap -sO"). Патч можно загрузить здесь (ftp://ftp.openbsd.org/pub/OpenBSD/patches/4.4/common/013_pf....).- В широком спектре продуктов Oracle (СУБД 9i, 10g и 11g, Application Server, E-Business Suite и т.п.) исправлено (http://secunia.com/advisories/34693/) три опасные уязвимости, которые могут привести к выполнению кода через специальный POST запрос к opmn процессу через 6000 порт, выполнению подставных SQL запросов через манипуляции с пакетом DBMS_AQIN или получению доступа непривилегированного пользователя к APEX паролям.
- В JSON парсере PHP до версии 5.2.9 обнаружена (http://www.mandriva.com/en/security/advisories?name=MDVSA-20...) уязвимость, позволяющая злоумышленнику вызва...
URL:
Новость: http://www.opennet.me/opennews/art.shtml?num=21289
а как же любимая фраза опенбсд-ов
что мол за восемь лет не было найдено не одной уязвимости ;(ну ни кто не ангел конечно
> мол за восемь лет не было найдено не одной уязвимости ;(Опенбсд - это такой неуловимый Джо.Никому нахрен не нужен - потому и неуловим.А юзали б это на 50% серверов - вы бы узнали о ней много нового, не с лучшей стороны.А редкая экзотичная система хакерам малоинтересна - траха много а ради чего?Сервер с этим найти?!Проще в лотерею миллион выиграть наверное.
>> мол за восемь лет не было найдено не одной уязвимости ;(
>
>Опенбсд - это такой неуловимый Джо.Никому нахрен не нужен - потому и
>неуловим.А юзали б это на 50% серверов - вы бы узнали
>о ней много нового, не с лучшей стороны.А редкая экзотичная система
>хакерам малоинтересна - траха много а ради чего?Сервер с этим найти?!Проще
>в лотерею миллион выиграть наверное.Я пишу эти строки из-под OpenBSD. У меня на работе используется OpenBSD. На прошлой работе тоже используется OpenBSD. Некоторые мои друзья-коллеги в России, я бы даже сказал в Москве, тоже юзают OpenBSD. И если вы не в курсе, среди BSD-систем OpenBSD занимает второе место после FreeBSD: http://en.wikipedia.org/wiki/File:Bsd_distributions_usage.svg . Вы когда-нибудь использовали OpenSSH? Ведь использовали наверняка. А он тоже разрабатывается в рамках OpenBSD. sudo тоже сейчас курируется одним из разработчиков OpenBSD (Todd Miller). Ну а собственно PF был портирован даже на Windows. Да-да.
Ты им все равно ничего не докажешь. Они же чуваки (см. соседнюю ветку) и фанатично влюблены в свою промывающую мозг священную корову.
>я бы даже сказал в Москве, тоже юзают OpenBSD.Вспомнился анекдот про войну чукч и китайцев, там где одних сто а других миллиард.
P.S. кстати если следить за дырами то можно заметить что и в sudo и в openssh дыры находили, при том последние - не так уж и давно.С чего вы взяли что дыр нет в менее популярных а потому менее изученных кусках кода - вам виднее, а со стороны выглядит необоснованно и неубедительно.
P.P.S. А как ищут баги опенбсдшники - известно. Вот так: http://www.securitylab.ru/news/352795.php
>>я бы даже сказал в Москве, тоже юзают OpenBSD.
>
>Вспомнился анекдот про войну чукч и китайцев, там где одних сто а
>других миллиард.… Миллионы мух не могут ошибаться…
>P.S. кстати если следить за дырами то можно заметить что и в
>sudo и в openssh дыры находили, при том последние - не
>так уж и давно.С чего вы взяли что дыр нет в
>менее популярных а потому менее изученных кусках кода - вам виднее,
>а со стороны выглядит необоснованно и неубедительно.
>
>P.P.S. А как ищут баги опенбсдшники - известно. Вот так: http://www.securitylab.ru/news/352795.phpИменно. Только эта бага существовала задолго до появления на свет OpenBSD (а также Linux), и относилась практически ко всем BSD-системам. Так что факт находки и исправления данной проблемы как раз OpenBSD'шниками, ИМХО, им в плюс. Не они авторы этого кода (автор кода сейчас трудится в первую очередь на благо FreeBSD и вообще стоял у её истоков).
>P.S. кстати если следить за дырами то можно заметить что и в
>sudo и в openssh дыры находили, при том последние - не
>так уж и давно.С чего вы взяли что дыр нет в
>менее популярных а потому менее изученных кусках кода - вам виднее,
>а со стороны выглядит необоснованно и неубедительно.Находили, и что? Вы хотите кому-то открыть глаза, что нет совершенных программ? Открою вам великую тайну: открывать глаза здесь особо некому. Мы живём в мире несовершенных программ. Доверять нельзя никому.
И покажите мне, пожалуйста, с чего вы взяли, что я утверждаю, что в OpenBSD, OpenSSH, sudo и т.д. нет дыр. Ткните меня пальцем и я стыдливо умолкну.
>а как же любимая фраза опенбсд-ов
>что мол за восемь лет не было найдено не одной уязвимости ;(
>
>
>ну ни кто не ангел конечноЧитайте внимательно: "Only two remote holes in the default install, in more than 10 years!"
Во-первых, "в установке по умолчанию". PF в установке по умолчанию не включён. Хотя бы потому, что прикрывать им нечего, по дефолту (идея которого хоть и не была придумана опёнковцами, но явно с их примера пошла в жизнь) в OpenBSD включён только sshd, да и то не обязательно. :)
Во-вторых, к сожалению, две уязвимости таки найдено. :( И вторая была тоже связана с IPv6 и ICMP…
В-третьих, уже в течение десяти лет. ;)
Сейчас у них на сайте: "Only two remote holes in the default install, in more than 10 years!".
Поэтому ничего страшного, они либо просто отмажутся, либо добавят +1 к числу дырок.
>Сейчас у них на сайте: "Only two remote holes in the default
>install, in more than 10 years!"."Нет безбажных программ.Есть недообследованные." (c) мне неизвестен.
>Сейчас у них на сайте: "Only two remote holes in the default
>install, in more than 10 years!".
>Поэтому ничего страшного, они либо просто отмажутся, либо добавят +1 к числу
>дырок.Не путайте DoS с Remote code execution.
не ну вообще поражает как так простым сканированием выбить фаер
а вообще у кого какое мнение по поводу pfчесто скажу прешел на него с iptables, синтаксис - крут ни чего не скажешь
Но как то не так все понятно как с iptables - там ты царь, а тут даже схемы нет как пакеты обрабатываються
ИМХО Ну вообщем iptables очень наворочен, и очень гидок в отличии от pf
мне так показалось
>[оверквотинг удален]
>
>често скажу прешел на него с iptables, синтаксис - крут ни чего
>не скажешь
>
>Но как то не так все понятно как с iptables - там
>ты царь, а тут даже схемы нет как пакеты обрабатываються
>
>ИМХО Ну вообщем iptables очень наворочен, и очень гидок в отличии от
>pf
>мне так показалосьПосмотрите внимательно diff, трабла (в очередной раз) связана с обработкой IPv6. Может, это смерть одного из KAME'овцев так влияет до сих пор, может, ещё что.
Схема обработки пакетов детально разжёвана в man'e, равно как и в доступной в Сети книге "Building Firewalls with OpenBSD and PF". Кстати, в CURRENT произошли заметные изменения, о которых я, кажется, так и забыл новость сюда накатать, сейчас исправлюсь.
>не ну вообще поражает как так простым сканированием выбить фаер
>Что тебя поражает то? А если б изощренный способ был, тебя это не поразило? Все равно нихера не понимаешь смысла этой атаки и ее механизма (природы ее, так сказать). Будто ты бы такой баги не допустил, можно подумать
Такие умные все, блин, пошли... Что не коммент, то обязательно мнение от гипер-мега-крутого программера
>>не ну вообще поражает как так простым сканированием выбить фаер
>>
>
>Что тебя поражает то? А если б изощренный способ был, тебя это
>не поразило? Все равно нихера не понимаешь смысла этой атаки и
>ее механизма (природы ее, так сказать). Будто ты бы такой баги
>не допустил, можно подумать
>
>Такие умные все, блин, пошли... Что не коммент, то обязательно мнение от
>гипер-мега-крутого программераесли честно, то я себя мега программером не считаю
я вообще начинающий сис. админя просто удивлен, тому, что с каждым днем мне хоть и сложнее работать, но в то же время и интересней работая, каждый день заходить на любимый опеннет и следить за тем, что происходит в мире опенсорс;)
а вот по теме того, что меня поражает как раз таки что ни кому верить нельзя. полагаться можно только на себя ;) - просто факт.
вообщем то о опенбсд я узнал пытавшись устроиться на работу в одну контору сисадмином
причем там много спрашивали а знаете ли вы о таких аттаках, а о таких знаете
и вот настал тот час, когда я смело и абсолютно без зазрения совести могу послать ссылку на эту дыру, тому кто со мной вел собеседование и рассказывал мне, что у нас все под контролем
;)
да хочу сказать, что сейчас у меня два сервака именно с pf.и замечу, что установив pf я понял очень много вещей, о которых раньше мог только догадываться
во всем есть свои плючы и минусы
>если честно, то я себя мега программером не считаю
>я вообще начинающий сис. админНародная мудрость гласит что иногда тебе надо МНОГО читать, слушать и спрашивать и МАЛО выражать своё мнение. И тогда со временем начнут спрашивать у тебя :)
По делу - ошибка в IPv6. Оно ещё принесет не одну и не две проблемы ... но двигаться все же нада :(
>Но как то не так все понятно как с iptables - там ты царь, а тут даже схемы нет как пакеты обрабатываютьсяПравила PF имеют структуру описания из 7 разделов. В IPTABLES пишешь — как бог на душу положит.
Почти как отличия C от Asm.
>Но как то не так все понятно как с iptables - там ты царь,
> а тут даже схемы нет как пакеты обрабатываютьсяПорядок прохождения пакетов в PF
http://img210.imageshack.us/img210/3568/flow.png
спасибо огромное ;)
много раз пытался переписать правила которые у меня работали в iptables на pfни фига - тут блин философия другая совершенно
причем дай бог чтобы философия не мешала реальным нуждам ;)
Первая ссылка гугла (отмотано чуть назад по истории сообщений) по запросу "iptables denial of service":
http://lists.netfilter.org/pipermail/netfilter-devel/2004-Ap...Вторая ссылка гугла:
http://secunia.com/advisories/9429/И т.д.
>Первая ссылка гугла (отмотано чуть назад по истории сообщений) по запросу "iptables
>denial of service":
>http://lists.netfilter.org/pipermail/netfilter-devel/2004-Ap...
>
>Вторая ссылка гугла:
>http://secunia.com/advisories/9429/
>
>И т.д.т.е. ты хочешь сказать, что у iptables все запущено пуще pf-а
ну в принципе как ниже заметили c и asm, соглашусь, на asm легче допустить ошибку ;)
>[оверквотинг удален]
>>
>>Вторая ссылка гугла:
>>http://secunia.com/advisories/9429/
>>
>>И т.д.
>
>т.е. ты хочешь сказать, что у iptables все запущено пуще pf-а
>
>ну в принципе как ниже заметили c и asm, соглашусь, на asm
>легче допустить ошибку ;)Насчёт того, запущеннее или нет — не возьмусь быть беспристрастным судьёй, а сравнение C и Asm, ИМХО, действительно довольно удачное, именно с такими выводами. :)
вообщем то единственное, что меня не устраивает в подходе к изучению pf так это то, что перевыв уже кучу мануалов и статей я ни где не нащел схемы как обрабатываються пакетыт.е. как в iptables
я конечно понимаю, что она будет принципиальна иная
я имею в виду что то типа схемы а третей главе вот этого мануала
http://www.opennet.me/docs/RUS/iptables/или вот позамороченней
http://jengelh.medozas.de/images/nf-packet-flow.svgну вообще у меня раньше была средняя схемка, ну там было все понятно
что касаеться openBSD то ни в man pf, ни в faq на сайте, ни в man pf.conf ни чего такого я не нашелхоть бы главу что ли посвятили схеме, - ни фига только словестно, я конечно все понимаю, но блин собрать словестные вещи воедино ИМХО - это сложно.
причем до сих пор из за этого страдаю
т.е. как то все по отдельности описано, ну не нашел я еще полного мана, видимо прийдеться искать ту книжку про PF типа Understanding PF помоему. может там что то подобное будет
>вообщем то единственное, что меня не устраивает в подходе к изучению pf
>так это то, что перевыв уже кучу мануалов и статей я
>ни где не нащел схемы как обрабатываються пакеты
>
>ну не нашел я еще
>полного мана, видимо прийдеться искать ту книжку про PF типа Understanding
>PF помоему. может там что то подобное будетman: http://www.freebsd.org/cgi/man.cgi?query=pf.conf
faq: ftp://ftp.openbsd.org/pub/OpenBSD/doc/pf-faq.pdf
пример: http://www.lissyara.su/?id=1833
>[оверквотинг удален]
>>так это то, что перевыв уже кучу мануалов и статей я
>>ни где не нащел схемы как обрабатываються пакеты
>>
>>ну не нашел я еще
>>полного мана, видимо прийдеться искать ту книжку про PF типа Understanding
>>PF помоему. может там что то подобное будет
>
>man: http://www.freebsd.org/cgi/man.cgi?query=pf.conf
>faq: ftp://ftp.openbsd.org/pub/OpenBSD/doc/pf-faq.pdf
>пример: http://www.lissyara.su/?id=1833сто раз читал ;)
>[оверквотинг удален]
>>>
>>>ну не нашел я еще
>>>полного мана, видимо прийдеться искать ту книжку про PF типа Understanding
>>>PF помоему. может там что то подобное будет
>>
>>man: http://www.freebsd.org/cgi/man.cgi?query=pf.conf
>>faq: ftp://ftp.openbsd.org/pub/OpenBSD/doc/pf-faq.pdf
>>пример: http://www.lissyara.su/?id=1833
>
>сто раз читал ;)Ну вот кортинго тогда. Откуда выдрал - не помню, кажется, было в презентациях, выложенных на openbsd.org. http://77.108.65.40/dnl/flow.png
Главное, что нужно понять (не только в случае миграции с iptables на PF или обратно), это то, что плясать надо от конечной цели. То есть формулировать задачу «надо так-то и так-то разрулить взаимодействие таких-то сетей», а не «как адаптировать заточенное под iptables решение для PF».
Схема прохождения пакета...Ну тут вошел, оттуда вышел :)Принципы простые:
1) Список правил проверяется и применяется на пакет на каждой сетевой, через которую он пройдет
2) NAT на сетевой применяется первый (т.е. меняются заголовки) - и после список правил проверяется уже на пакет с измененным адресом/портом.Вот и вся схема.
PS: Недавно мигрировал сервер с iptables/shorewall - около 600 правил на PF - получилось: 7 таблиц + 10 макросов + 40 правил.
а че вполне реальная статистикау меня на iptables было куча непонятного бреда
причем когда настраивал уже тогда понял
что пройдет время и как все буду вспоминать и камменты не помогут
так и есть почти ;)
хотя конечно с iptables больше провозился, с pf пока сложно
но ни чего тяжело в учении , легко в бою
Dorlas
даже добавлю что, если ты не верно написал порядок правил в pf,то pf просто не загрузит правила:))
наверное поэтому у народа не часто возникают вопросы "как проходит пакет" :)
Если внимательно прочитать документацию на PF хотя бы один раз - то сразу будет формироваться правильный список правил и их порядок.Пример:
############# 1) Макросы и списки ##############
if_ext_local="ng0"
if_ext_unlim="ng1"
if_inet="xl1"
if_lan="xl0"############# 2) Таблицы (tables) #######################
############# 3) Опции PF (pf options) ##################
############# 4) Scrub (нормализация) ###################
scrub in all fragment reassemble min-ttl 15 max-mss 1400
scrub in all no-df
scrub all reassemble tcp############# 5) Очереди (queries) ######################
############# 6) Трансляция адресов (NAT) ###############
nat on $if_ext_local inet from 192.168.0.0/24 -> ($if_ext_local)
nat on $if_ext_unlim inet from 192.168.0.0/24 -> ($if_ext_unlim)############# 7) Правила фильтрации (filtering rules) ###
#######Блокирующие правила#######
### Блокировать любые пакеты (правило по умолчанию) ###
block drop log all### Блокировать любые пакеты без обратного адреса ###
block in from no-route to any
block in from urpf-failed to any#######Разрешающие правила#######
### Разрешить любые пакеты по loopback-интерфейсу ###
pass quick on lo0 all### Разрешим любые пакеты по внутреннему интерфейсу ###
pass quick on $if_lan all### Правила для VPN-клиента
pass out on $if_inet proto tcp from $if_inet to {10.8.0.1} port 1723
pass on $if_inet proto gre all### Доступ к портам сервера с локалки Уфанет ###
pass in on $if_ext_local proto tcp from any to any port 873 modulate state
pass in on $if_ext_local proto tcp from any to any port 80 modulate state
pass in on $if_ext_local proto tcp from any to any port {21 20000><21000} modulate state### Разрешить Ping на внешних интерфейсах###
pass on {$if_ext_local $if_ext_unlim} inet proto icmp all icmp-type 8 code 0### Разрешаем любые пакеты от VPN-интерфейсов ###
pass out on $if_ext_local from ($if_ext_local) to any keep state
pass out on $if_ext_unlim from ($if_ext_unlim) to any keep state
>Если внимательно прочитать документацию на PF хотя бы один раз - то
>сразу будет формироваться правильный список правил и их порядок.
>
>Пример:
>
>
> ### Разрешить любые пакеты по loopback-интерфейсу ###
>pass quick on lo0 all
>зачем нагружать PF фильтрацией заведомо разрешенного траффика?
правельнее это правило переписать так: set skip on { lo0 }
т.е если условия задачи позволяют не фильтровать трафик на определенном интерфейсе, то его надо добавить в skip
>[оверквотинг удален]
>>
>>
>> ### Разрешить любые пакеты по loopback-интерфейсу ###
>>pass quick on lo0 all
>>
>
>зачем нагружать PF фильтрацией заведомо разрешенного траффика?
>правельнее это правило переписать так: set skip on { lo0 }
>т.е если условия задачи позволяют не фильтровать трафик на определенном интерфейсе,
>то его надо добавить в skipСтрого говоря, опция skip появилась в PF не сразу. У меня до сих пор на работе стоят две машины с фряхой (в свете определённых событий обновлять их нет смысла), которые эту опцию не поддерживают. Хотя вообще трудно приветствовать такую геронтофилию. :) Кстати, лучше писать обычно "set skip on { lo }", т.к. иногда удобно создавать дополнительные loopback-интерфейсы.
