saper, ты fw ruleset каждые 5 минут курочишь?
не смеши меня ;) Никто не мешает создат' ruleset а потом убит' все.
В плане безопасности это дает массу. ввиду отмонтированной fs /bin/sh из эксплоита запустит' трудновато :) впрочем, ввиду отсутствия рабочих сервисов на машине тем более :) mount() можно сделат', но для этого надо стек сорват' где-то. вероятность срыва стека неправил'но сформированным пакетом ест' но этого достичь куда как сложнее з счет той зхе фрагментации а так же факта, что на пути есть более одного роутера.
В общем, теоретически - интересно. Если подогнат' архитектуру fw под это дело, может получит'ся.
Осножной минус, что тол'ко kernel-level features будут работат'... То ест' squid ту там не запустишь или socks. Хотя можно написат' прокси как модули ядра... Быстро будет...
Ну вцелом идея для разработки в размере кандидатский примерно ;)
Отмонтированная fs - Ok. Сорвав стек mount() выполним. Запустить /bin/bash можно только сорвав стек.
Так что или срываем стек: монтируем, /bin/bash запускаем или не срываем (тут в смысле не получится) и не монтируем и не запускаем /bin/bash. Какая разница? Конечно есть вариант, когда эксплоит просто тупо запускает /bin/bash - но в этом случае что будет? Повиснет FW всей сети? Трафик встанет? Понятно что watchdog перезагрузит. Tripwire и пусть ломают fs. Если что не так - tw сообщит. Если не сообщит - ребут FW. (это пример, мы так не делаем).
P.S. Рулесет меняют сисадмины (иногда нужно - банк клиент новый или видеоконференцию директор захочет), админы безопасности его разрабатывают.
P.P.S. Яне админ безопасности.
угу... 10 раз срываем стек а программа все работает и работает и работает...
Я тебя уже спросил, придумай мне хотя бы "лабораторный" срыв стека, для такого случая. У меня есть смутное порозрение, что это в принципе невозможно...
Мне тут ваще мысльв голову пришла - берем бездисковую машину, на которой _физически отсутствует хард. Делаем оинуксовую дискетку, грузимся с нее, запускаем ipchains, halt, вынимаем дискету.
И всё, кто-бы там чё не сорвал, ему даже примаунтить нечео будет, (при условии что он догадается что надо маунтить).
есть правда проблема того, что если такая машина "падает", то она сама не встанет.
И все таки - если ты говоришь, что стэк сорвать нельзя, тогда получить управление машиной он не сможет (предполагаем, что других сервиосв там нет). Зачем тогда отмонтировать файловую систему???
ясказал, что стэк сорвать нельзя? Я сказал, что 10 раз стэк сорвать нельзя, это разные вещи. То, что ты в одном shell-code поместишь mount() и exec() представляется мне нереальным.
То есть, я не исклчаю, что теоретически это возможно, но ввиду того, что fragmented пакеты linux вроде, наконец, научился собирать без ошибок (уже года 2 наверное, ;) ) то больше ,ест для срыва мне не видится... Разве что URG pointer может быть...
как я сказал раньше, идея хороша для кандидатской.
