Vlákno názorů k článku Přelez, přeskoč a podlez NAT od Petrik - To je skutecne tak snadne oblafnout NAT vcetne...
-
Petrik (neregistrovaný)To je skutecne tak snadne oblafnout NAT vcetne obvykleho stavoveho firewallu? Predpokladam ze vetsina lidi, co maji doma NAT, maji zaroven stavovy firewall. Nepouziva nahodou linuxovy stavovy firewall nejaky pokrocilejsi testovani UDP packetu, aby odhalil ze ve skutecnosti to nejsou odpovedi, ale ze jsou podstrceny? To se opravdu kouka pouze na cisla portu? Neda se to tedy velmi jednoduse zneuzit?
-
UDP je bezstavovy protokol, nan stavovy firewall moc dobre nefunguje. Na rozdiel od TCP nema SYN/ACK handshake a nema SEQ/ACK cisla.
Jedine, co firewall/NAT vidi, je, ze z vnutornej siete odisiel na danu IP/UDP port paket a ze z danej IP/UDP portu prichadza paket naspat.
Podstrcit paket pre utocnika je preto jednoduche (musi len vediet ako zvolit IP/cisla portov, napr. ze odpocuje paket pri jeho ceste von do internetu).
Ad. zneuzitie: aplikacia pouzivajuca UDP bud proti tomu musi nieco spravit sama, alebo nechat to tak, jak to je.
