forum.opennet.ru - "Новый вариант атаки NAT slipstreaming, позволяющей отправить запросы на внутренний IP" (67)

"Новый вариант атаки NAT slipstreaming, позволяющей отправить запросы на внутренний IP"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Новый вариант атаки NAT slipstreaming, позволяющей отправить запросы на внутренний IP"	+/–
Сообщение от opennews (??), 28-Янв-21, 22:41
Опубликован новый вариант атаки NAT slipstreaming, позволяющей установить сетевое соединение от сервера атакующего к любому UDP или TCP порту на системе пользователя, открывшего подготовленную атакующем web-страницу в браузере. Атака даёт возможность атакующему отправить любые данные на любой порт пользователя, невзирая на применение на системе жертвы внутреннего диапазона адресов (192.168.x.x, 10.x.x.x), выход в сеть с которого напрямую закрыт и возможен только через транслятор адресов... Подробнее: https://www.opennet.me/opennews/art.shtml?num=54480
Ответить \| Правка \| Cообщить модератору

Оглавление

И вот это вот овнище только что приняли в качестве стандарта Малацы , Онаним (?), 22:51 , 28-Янв-21, (4) +11

Верно, в проклЯтое время живем , АнДанте (?), 23:02 , 28-Янв-21, (8) +1

В обычное смузивремя, что вы , Урри (ok), 13:28 , 29-Янв-21, (36) +1

хоть цепочка дырявого софта в этом виде атаке длинная, виноват канешна-же NAT , asdf (?), 15:50 , 30-Янв-21, (58)

Обход нат в webrtc используется для прямой передачи данных между компьютерами за, Аноним (10), 23:45 , 28-Янв-21, (10)

Один фиг, это счастье как раз рассчитывает на stateful filtering Часть роутеров, Онаним (?), 23:51 , 28-Янв-21, (12) +4

Уже давно обязали его жрать и не отвлекаться Почему нет хвалебных коментов Ох, Аноним (-), 01:17 , 29-Янв-21, (14) +2

У гугла в последнее время кризис, даже фанатики начали от них бежать , Аноним (25), 05:47 , 29-Янв-21, (25)

Просто гугл переборщил с aнaльным вставлянием рекламы по поводу и без Настолько, Урри (ok), 13:32 , 29-Янв-21, (37) +2

1 Что значит испортил поиск - Вы заметили ухудшение выдачи 2 Какой народ, Аноним (-), 14:45 , 29-Янв-21, (40)

- Вы заметили ухудшение выдачи Вы о чём Есть пруфы есть ищи , darkshvein (ok), 00:11 , 01-Фев-21, (65) –1

с разморозкой только что заметили , darkshvein (ok), 00:11 , 01-Фев-21, (64)
Чушь не пори, Михаил (??), 14:19 , 05-Фев-21, (70)

какой кризис какие фанатики вы о чём именно есть пруфы , Аноним (-), 14:43 , 29-Янв-21, (39) +1

Твой аккаунт еще не зобанили Вот это недоработка, но абьюз тим уже взял тебя на, Аноним (-), 19:31 , 29-Янв-21, (53)

Которое из них , Аноним (-), 19:29 , 29-Янв-21, (52)
Только что Какой год у тебя на календаре Да, к черту не важно Парень, как толь, Атон (?), 14:33 , 30-Янв-21, (55)

Я не знаю, какой год у тебя на календаре, но 28 01 2001 - Технология WebRTC по, Онаним (?), 15:11 , 30-Янв-21, (56)

Ахах блджад, да, 2001Появится евро - обязательно куплю Знал бы - сразу бы купил, Онаним (?), 15:12 , 30-Янв-21, (57)

smart doormat 8212 это прекрасно , Annoynymous (ok), 22:52 , 28-Янв-21, (6) +2
Ну вы просто галочку поставьте и не парьтесь , Аноним (7), 22:58 , 28-Янв-21, (7)
Nat не для защиты Обход НАТ это не баг, а фича, Аноним (10), 23:42 , 28-Янв-21, (9) +14

От наличия или отсутствия NAT тут ничего не меняется Проблема в обходе stateful , Онаним (?), 23:50 , 28-Янв-21, (11) +15

Вот именно Нужно фиксить этот баг на уровне ядра, а не в браузерах банить очере, Гентушник (ok), 01:43 , 29-Янв-21, (16) +4
что-то мне подсказывает, что сквозь ipfw reass и pf хрен пролезет это чудище , Аноним (17), 01:59 , 29-Янв-21, (17) +1
Это вы где вычитали Проблема только в ALG, ALG это часть NAT , Аноним (41), 14:46 , 29-Янв-21, (41) –1

ALG это внезапно часть stateful tracking, а не NAT Которая влияет как на NAT, та, Аноним (45), 14:59 , 29-Янв-21, (45) +2

Cisco ASA смотрит на тебя с недоумением , pofigist (?), 17:43 , 29-Янв-21, (51)

то чувство, когда саркастичная ирония и не ирония вовсе, а киберпанк, который мы, онанимус (?), 00:19 , 29-Янв-21, (13) +5
Через какую же попу все описанные технологии работают Это просто жуть , Аноньимъ (ok), 01:21 , 29-Янв-21, (15) +5

Цель интернета - пробить дыру к юзеру А ты думаешь, почему его военные изобрета, Аноним (20), 02:55 , 29-Янв-21, (20) +2

Кажется исследователи спалили фичу, а удивляющийся просто не понял этого , Ананоним (?), 05:47 , 29-Янв-21, (24)
сидящие за nat полноценными юзерами Интернета не являются если некоторые ОС небе, СеменСеменыч777 (?), 14:33 , 29-Янв-21, (38) –1
Теории заговора в следующем отделе Изобретали интернет военные для военных, юзе, Аноним (69), 05:55 , 02-Фев-21, (69)

Ну тогда новость можно было и не писать Проблемы любителей некротиков , openwrtshnik (?), 02:24 , 29-Янв-21, (18) +2

Чушь не пори В микротиках функционал AGL полностью отключается штатными средств, NetRaider (ok), 02:39 , 29-Янв-21, (19)

Она везде отключается Вопрос в том, где она включена по умолчанию , Иноагент (?), 15:05 , 29-Янв-21, (48) +2

А проблему решить просто выставляем всем сокетам в системе по дефолту TTL Hop L, Ivan_83 (ok), 04:29 , 29-Янв-21, (22) +1

Можно ещё проще - закрыть для браузера интернет вообще и использовать прокси Пу, Аноним (27), 07:39 , 29-Янв-21, (27) +1
Это куда эту единичку прописать , Аноним (30), 09:45 , 29-Янв-21, (30)

Единичку прописать не проблема, проблема сказать софту чтобы он другой ттл пропи, Ivan_83 (ok), 00:25 , 30-Янв-21, (54)

У меня дежавю или подобная новость с баном портов по умолчанию из-за каких-то уя, Аноним (23), 05:20 , 29-Янв-21, (23) +3

Написано же, что это новый вариант прошлогодней пробоемы в новости на неё стоит, Аноним (32), 10:07 , 29-Янв-21, (32)

которая в свою очередь является развитием способа открытия портов в GW с помощью, Аноним (41), 14:54 , 29-Янв-21, (43)

Кажется исследователи спалили фичу , Ананоним (?), 05:48 , 29-Янв-21, (26) +1
С голым задом нехрен лезть в инет , Аноним (28), 08:13 , 29-Янв-21, (28) –1
Ахахахахаха Помню как фиксили прошлую версию Добавляли номера портов в чёрный с, Аноним (29), 09:22 , 29-Янв-21, (29) +3

Не до бесконечности, а до 65535 Но там стандартизаторы как увидят что все порт, Кровосток (?), 09:58 , 29-Янв-21, (31) +5
А они так и делают facepalm , Аноним (41), 14:56 , 29-Янв-21, (44)
РКН довольно курит в сторонке , darkshvein (ok), 00:13 , 01-Фев-21, (66)

Нормальная практика - это закрывать все порты и оставлять только необходимые для, Аноним (28), 11:13 , 29-Янв-21, (33) +1

Я так и поступаю , Аноним (34), 12:06 , 29-Янв-21, (34)
Так ALG этим и занимается Открывает порты, необходимые для работы , Аноним (45), 15:00 , 29-Янв-21, (46) +2

Бугага У меня не работает , Аноним (35), 12:18 , 29-Янв-21, (35) –1
Проблема в том, что это устраняют браузеры, а не долбоящеры, которые понасовали , Аноним (42), 14:48 , 29-Янв-21, (42) +6

Лишний повод не пользоваться услугам крупных корпораций Городская сеть ближе к , Аноним (41), 15:04 , 29-Янв-21, (47)

Ну это же зависит от настроек почтового сервера Будет ли он принимать соединени, Иноагент (?), 15:22 , 29-Янв-21, (49)

TLS SMTPS - да STARTTLS ESMTP - не только от него В одном случае SMTP-соеди, Аноним (42), 16:35 , 29-Янв-21, (50) +1

Это поможет network security ports banned override 69,137,161,1719,1720,1723,5, Аноним (59), 17:04 , 30-Янв-21, (59)

По идее это должно помочь network security ports banned 69,137,161,1719,1720,1, XXX (??), 20:30 , 30-Янв-21, (60) +1

http kb mozillazine org Network security ports banned, XXX (??), 20:34 , 30-Янв-21, (61) +1
Ну и ну, спецом для себя открыл, гугл такой гугл, спасибо, trr (?), 20:58 , 30-Янв-21, (62)

на кой чёрт мне сип и webrtc в браузере на кой чёрт я должен страдать из-за рета, darkshvein (ok), 00:10 , 01-Фев-21, (63) +1

есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своим, онанимус (?), 23:09 , 01-Фев-21, (67)

а-ха-ха, в наиболее дырявом софте узнаю виндоадминов , darkshvein (ok), 00:19 , 02-Фев-21, (68)

Ставь PALEMOON в нем webrtc вырезан и всякое дерьмо ,сейчас он на гиконе на 1 п, ГОНЩИК (?), 15:50 , 06-Фев-21, (71)

главное 8212 не останавливаться, и добавлять в браузеры ещё больше всяких API, arisu (ok), 08:36 , 09-Фев-21, (72)

Сообщения [Сортировка по времени | RSS]

4. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +11 +/–

Сообщение от Онаним (?), 28-Янв-21, 22:51

И вот это вот овнище только что приняли в качестве стандарта.
Малацы.

Ответить | Правка | Наверх | Cообщить модератору

8. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от АнДанте (?), 28-Янв-21, 23:02

Верно, в проклЯтое время живем...

Ответить | Правка | Наверх | Cообщить модератору

36. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Урри (ok), 29-Янв-21, 13:28

В обычное смузивремя, что вы.

Ответить | Правка | Наверх | Cообщить модератору

58. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от asdf (?), 30-Янв-21, 15:50

хоть цепочка дырявого софта в этом виде атаке длинная, виноват канешна-же NAT...

Ответить | Правка | Наверх | Cообщить модератору

10. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (10), 28-Янв-21, 23:45

Обход нат в webrtc используется для прямой передачи данных между компьютерами за nat. Для защиты используйте фаервол

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

12. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +4 +/–

Сообщение от Онаним (?), 28-Янв-21, 23:51

Один фиг, это счастье как раз рассчитывает на stateful filtering. Часть роутеров благополучно пробьют дырку и без всяких натов.

Ответить | Правка | Наверх | Cообщить модератору

14. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Аноним (-), 29-Янв-21, 01:17

> И вот это вот овнище только что приняли в качестве стандарта.
Уже давно обязали его жрать и не отвлекаться. Почему нет хвалебных коментов ? Ох недоработка гулга..

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

25. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (25), 29-Янв-21, 05:47

У гугла в последнее время кризис, даже фанатики начали от них бежать.

Ответить | Правка | Наверх | Cообщить модератору

37. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Урри (ok), 29-Янв-21, 13:32

Просто гугл переборщил с aнaльным вставлянием рекламы по поводу и без. Настолько, что испортил свой собственный поиск. Вот народ и начал разбегаться.

Ответить | Правка | Наверх | Cообщить модератору

40. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (-), 29-Янв-21, 14:45

> гугл .... испортил свой собственный поиск. Вот народ и начал разбегаться.
1) Что значит "испортил... поиск" - Вы заметили ухудшение выдачи? 2) Какой народ? Куда разбегаться? Вы о чём? Есть пруфы?

Ответить | Правка | Наверх | Cообщить модератору

65. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." –1 +/–

Сообщение от darkshvein (ok), 01-Фев-21, 00:11

- Вы заметили ухудшение выдачи?  Вы о чём? Есть пруфы?

есть. ищи.

Ответить | Правка | Наверх | Cообщить модератору

64. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от darkshvein (ok), 01-Фев-21, 00:11

> испортил свой собственный поиск.
с разморозкой!! только что заметили?

Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

70. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Михаил (??), 05-Фев-21, 14:19

Чушь не пори

Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

39. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Аноним (-), 29-Янв-21, 14:43

> У гугла в последнее время кризис, даже фанатики начали от них бежать.
какой кризис? какие фанатики? вы о чём именно? есть пруфы?

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

53. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (-), 29-Янв-21, 19:31

> Ох недоработка гулга..
Твой аккаунт еще не зобанили? Вот это недоработка, но абьюз тим уже взял тебя на карандаш за нарушение ToS.


Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

52. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (-), 29-Янв-21, 19:29

> И вот это вот овнище только что приняли в качестве стандарта.
Которое из них?

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

55. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Атон (?), 30-Янв-21, 14:33

Только что?
Какой год у тебя на календаре?
Да, к черту! не важно!
Парень, как только создадут Евросоюз смело покупай новую валюту, евро!

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

56. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Онаним (?), 30-Янв-21, 15:11

Я не знаю, какой год у тебя на календаре, но...
28.01.2001 - Технология WebRTC получила статус стандарта

Ответить | Правка | Наверх | Cообщить модератору

57. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Онаним (?), 30-Янв-21, 15:12

Ахах блджад, да, 2001
Появится евро - обязательно куплю. Знал бы - сразу бы купил, а так - только в 2014 так делал. Не прогадал.
2021 конечно
Но не суть

Ответить | Правка | Наверх | Cообщить модератору

6. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Annoynymous (ok), 28-Янв-21, 22:52

smart doormat — это прекрасно!

Ответить | Правка | Наверх | Cообщить модератору

7. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (7), 28-Янв-21, 22:58

Ну вы просто галочку поставьте и не парьтесь.

Ответить | Правка | Наверх | Cообщить модератору

9. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +14 +/–

Сообщение от Аноним (10), 28-Янв-21, 23:42

Nat не для защиты. Обход НАТ это не баг, а фича

Ответить | Правка | Наверх | Cообщить модератору

11. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +15 +/–

Сообщение от Онаним (?), 28-Янв-21, 23:50

От наличия или отсутствия NAT тут ничего не меняется.
Проблема в обходе stateful filtering. NAT тут только часть целого.
Вообще тут ещё к кодописцам ALG в роутерах есть вопросы: какого фига пакеты с флагом фрагмента скармливаются ALG без предварительной дефрагментации.

Ответить | Правка | Наверх | Cообщить модератору

16. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +4 +/–

Сообщение от Гентушник (ok), 29-Янв-21, 01:43

Вот именно. Нужно фиксить этот баг на уровне ядра, а не в браузерах банить очередную порцию портов.

Ответить | Правка | Наверх | Cообщить модератору

17. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Аноним (17), 29-Янв-21, 01:59

что-то мне подсказывает, что сквозь ipfw reass (и pf) хрен пролезет это чудище...

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

41. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." –1 +/–

Сообщение от Аноним (41), 29-Янв-21, 14:46

> Проблема в обходе stateful filtering
Это вы где вычитали? Проблема только в ALG, ALG это часть NAT.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

45. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Аноним (45), 29-Янв-21, 14:59

ALG это внезапно часть stateful tracking, а не NAT.
Которая влияет как на NAT, так и на фильтрацию.
Например порты RTP открывает, читая SIP.

Ответить | Правка | Наверх | Cообщить модератору

51. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от pofigist (?), 29-Янв-21, 17:43

Cisco ASA смотрит на тебя с недоумением...

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

13. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +5 +/–

Сообщение от онанимус (?), 29-Янв-21, 00:19

> smart doormat
> internet connected oven
то чувство, когда саркастичная ирония и не ирония вовсе, а киберпанк, который мы заслужили.

Ответить | Правка | Наверх | Cообщить модератору

15. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +5 +/–

Сообщение от Аноньимъ (ok), 29-Янв-21, 01:21

Через какую же попу все описанные технологии работают. Это просто жуть.

Ответить | Правка | Наверх | Cообщить модератору

20. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Аноним (20), 29-Янв-21, 02:55

Цель интернета - пробить дыру к юзеру. А ты думаешь, почему его военные изобретали?

Ответить | Правка | Наверх | Cообщить модератору

24. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Ананоним (?), 29-Янв-21, 05:47

Кажется исследователи спалили фичу, а удивляющийся просто не понял этого :)

Ответить | Правка | Наверх | Cообщить модератору

38. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." –1 +/–

Сообщение от СеменСеменыч777 (?), 29-Янв-21, 14:33

сидящие за nat полноценными юзерами Интернета не являются.
если некоторые ОС небезопасно выставить на реальный IP адрес без защиты, то это их проблемы.

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

69. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (69), 02-Фев-21, 05:55

Теории заговора в следующем отделе.
Изобретали интернет военные для военных, "юзеров" изначально там не планировалось вообще.

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

18. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от openwrtshnik (?), 29-Янв-21, 02:24

>OpenWRT проблеме не подвержен
Ну тогда новость можно было и не писать. Проблемы любителей некротиков))

Ответить | Правка | Наверх | Cообщить модератору

19. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от NetRaider (ok), 29-Янв-21, 02:39

Чушь не пори. В микротиках функционал AGL полностью отключается штатными средствами

Ответить | Правка | Наверх | Cообщить модератору

48. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Иноагент (?), 29-Янв-21, 15:05

Она везде отключается. Вопрос в том, где она включена по умолчанию.

Ответить | Правка | Наверх | Cообщить модератору

22. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Ivan_83 (ok), 29-Янв-21, 04:29

А проблему решить просто: выставляем всем сокетам в системе по дефолту TTL/Hop Limit=1, а тем кому надо во внешку - пусть себе ставят привычные 64/128.
После этого фаерволы становятся не очень то нужны, а такие хаки просто бесполезны.

Ответить | Правка | Наверх | Cообщить модератору

27. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Аноним (27), 29-Янв-21, 07:39

Можно ещё проще - закрыть для браузера интернет вообще и использовать прокси. Пусть куда угодно пакеты отправляет, хоть и через WebДыреньTC.

Ответить | Правка | Наверх | Cообщить модератору

30. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (30), 29-Янв-21, 09:45

Это куда эту единичку прописать?

Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

54. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Ivan_83 (ok), 30-Янв-21, 00:25

Единичку прописать не проблема, проблема сказать софту чтобы он другой ттл прописал потом себе на отдельные сокеты.

Ответить | Правка | Наверх | Cообщить модератору

23. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +3 +/–

Сообщение от Аноним (23), 29-Янв-21, 05:20

У меня дежавю или подобная новость с баном портов по умолчанию из-за каких-то уязвимостей уже была?

Ответить | Правка | Наверх | Cообщить модератору

32. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (32), 29-Янв-21, 10:07

> У меня дежавю или подобная новость с баном портов по умолчанию из-за
> каких-то уязвимостей уже была?
Написано же, что это новый вариант прошлогодней пробоемы (в новости на неё стоит ссылка), вместо SIP в котором H.323 и обход TURN.

Ответить | Правка | Наверх | Cообщить модератору

43. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (41), 29-Янв-21, 14:54

> новый вариант прошлогодней пробоемы
которая в свою очередь является развитием способа открытия портов в GW с помощью транслятора FTP протокола известного более 20 лет.

Ответить | Правка | Наверх | Cообщить модератору

26. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Ананоним (?), 29-Янв-21, 05:48

Кажется исследователи спалили фичу :)

Ответить | Правка | Наверх | Cообщить модератору

28. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." –1 +/–

Сообщение от Аноним (28), 29-Янв-21, 08:13

С голым задом нехрен лезть в инет.

Ответить | Правка | Наверх | Cообщить модератору

29. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +3 +/–

Сообщение от Аноним (29), 29-Янв-21, 09:22

Ахахахахаха Помню как фиксили прошлую версию. Добавляли номера портов в чёрный список. Давайте теперь и этот добавляйте. И так до бесконечности.

Ответить | Правка | Наверх | Cообщить модератору

31. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +5 +/–

Сообщение от Кровосток (?), 29-Янв-21, 09:58

Не до бесконечности, а до 65535 :)
Но там стандартизаторы как увидят что все порты заблокированы по стандарту, решат что надо теперь к ipv6 добавить и портыv6 :) Чтобы уж точно их хватило с учётом забаненых :)

Ответить | Правка | Наверх | Cообщить модератору

44. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (41), 29-Янв-21, 14:56

А они так и делают :facepalm:

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

66. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от darkshvein (ok), 01-Фев-21, 00:13

>Добавляли номера портов в чёрный список.
РКН довольно курит в сторонке.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

33. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Аноним (28), 29-Янв-21, 11:13

Нормальная практика - это закрывать все порты и оставлять только необходимые для работы.

Ответить | Правка | Наверх | Cообщить модератору

34. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (34), 29-Янв-21, 12:06

Я так и поступаю.

Ответить | Правка | Наверх | Cообщить модератору

46. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +2 +/–

Сообщение от Аноним (45), 29-Янв-21, 15:00

Так ALG этим и занимается. Открывает порты, необходимые для работы...

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

35. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." –1 +/–

Сообщение от Аноним (35), 29-Янв-21, 12:18

Бугага.
У меня не работает.

Ответить | Правка | Наверх | Cообщить модератору

42. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +6 +/–

Сообщение от Аноним (42), 29-Янв-21, 14:48

> Проблема уже устранена в недавних выпусках Firefox 85, Chrome 87.0.4280.141, Edge 87.0.664.75 и Safari 14.0.3.
Проблема в том, что это устраняют браузеры, а не долбоящеры, которые понасовали ALG во всевозможные роутеры.
Вообще есть удивительный карго-культ вокруг NAT-а. Я имел несчастье общаться с людьми которые:
1. Рассматривают NAT как средство безопасности, способное заменить ACL
2. Свято верящие в правильность решений вокруг NAT, отказываясь верить, что это нестандартизированный плохо документированный вендорозависимый механизм внутри фаервола.
ALG - это то что должен отключить каждый здравомыслящий человек вне зависимости от того, что там за вендор и на чем прошивка.
Если вы зайдете в настройки своего железного роутера/файервола вы увидите там перечень протоколов, для которых включено ALG. Так вот знайте! Это не "улучшение поддержки этих протоколов, потому что они не поддерживают NAT", это роутер занимается косорылым DPI и меняет содержимое данных в пакетах, чтобы оно:
а) заработало с его (вендора) единственно-верной реализацией NAT
б) добилось работоспособности "поддерживаемых" протоколов по стандартам 15-летней давности.
Из-за того что производители сетевого оборудования отказываются обновлять ПО, отказываются переходить на ipv6, отказываются стандартизировать механизм NAT они изобретают свои вендороспецифичные трюки вокруг ALG, которые в случае SIP и H323 не просто становятся причиной уязвимостей, но также приводят к неработоспособности этих протоколов, потому что не понимают/отказываются поддерживать их современные стандарты.
Особенно удивляют меня фанбои Cisco, которые верят в безопасность аналогичных ALG на ASA/ASR, дескать это устройства повышенной безопасности с поддержкой инспектирования траффика. А потом, когда их носом тычешь в tcpdump, что инспектирование для вопросов безопасности в понимании Cisco - это повырезать и поковеркать ESMTP, вырезав оттуда "250 STARTTLS", они искренне удивляются. Верующим документация не нужна. Для них DPI и NAT - это средства безопасности, а ALG - это средство помощи "устаревшим" протоколам. А потом их ломают... не понятно конечно почему...
Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор? Гэбня? Иллюминаты? Ни фига! Просто кто-то использует Cisco вместо коммутаторов и роутеров, да не просто так, а со стандартными настройками, потому что даже их настраивать не умеет.
И все эти вендоры сетевого железа... Они +/- все одинаковые. Им плевать, что стандарты поменялись, потому что сетевой администратор продолжит молиться на Nexus и покупать их дерьмо, даже не понимая суть происходящего выше уровня TCP/IP, даже не подозревая, что Cisco и D-Link это оборудование одного и того же класса. Тьфу.

Ответить | Правка | Наверх | Cообщить модератору

47. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (41), 29-Янв-21, 15:04

> Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS
Лишний повод не пользоваться услугам крупных корпораций. Городская сеть ближе к клиентам :-)

Ответить | Правка | Наверх | Cообщить модератору

49. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Иноагент (?), 29-Янв-21, 15:22

>Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор?
Ну это же зависит от настроек почтового сервера. Будет ли он принимать соединения для релея без TLS?

Ответить | Правка | Наверх | Cообщить модератору

50. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от Аноним (42), 29-Янв-21, 16:35

TLS (SMTPS) - да. STARTTLS (ESMTP) - не только от него.
В одном случае SMTP-соединение происходит внутри TLS-обёртки, а во втором случае, наоборот шифрование происходит внутри ESMTP-сессии. Для этого используется команда 250 STARTTLS. При таком подходе соединение между серверами не зашифрованное, и по этому приглашению устанавливается зашифрованное соединение.
Соединение не зашифровано и оно вырезает возможность STARTTLS из ehlo. Потому что так решила Cisco.
250-STARTTLS -> 250-XXXXXXXA
Оно просто видит траффик на 25/587 и режет это. Причем это поведение цисковской помойки по умолчанию.
И не думайте, что баранов принимают в сетевики только в Эр-телекоме. Они повсюду: https://it.slashdot.org/story/14/11/11/2349244/
ALG это же даже как-то сложно. Их оборудование расшифровывает всю почту между почтовым клиентом и сервером, если используется удаленные порты 25/587. А их "сертифицированные" специализды слишком тупы, чтобы SMTP понять. Я пойму, когда аноним в интернете не понимает как работает почта, но я такой же бред от админов-сетевиков слышал. Печально это все... грустно.

Ответить | Правка | Наверх | Cообщить модератору

59. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от Аноним (59), 30-Янв-21, 17:04

Это поможет?
network.security.ports.banned.override = 69,137,161,1719,1720,1723,5060,5061,6566

Ответить | Правка | Наверх | Cообщить модератору

60. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от XXX (??), 30-Янв-21, 20:30

По идее это должно помочь:
network.security.ports.banned = 69,137,161,1719,1720,1723,5060,5061,6566
Т.к. network.security.ports.banned.override наоборот разрешает порты из списка, исходя из этой информации: http://microsin.net/adminstuff/pcnetwork/firefox-blocking-po...

Ответить | Правка | Наверх | Cообщить модератору

61. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от XXX (??), 30-Янв-21, 20:34

http://kb.mozillazine.org/Network.security.ports.banned

Ответить | Правка | Наверх | Cообщить модератору

62. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от trr (?), 30-Янв-21, 20:58

> По идее это должно помочь:
Ну и ну, спецом для себя открыл, гугл такой гугл, спасибо

Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

63. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +1 +/–

Сообщение от darkshvein (ok), 01-Фев-21, 00:10

на кой чёрт мне сип и webrtc в браузере?
на кой чёрт я должен страдать из-за ретардов, которые не могут в установку отдельного мультимедийного ПО?
причем страдать не по каким то там идейным показателям жора озу/цпу, а по вполне реальным тестам безопасности.
почему браузеры равняются на дебилов?

Ответить | Правка | Наверх | Cообщить модератору

67. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от онанимус (?), 01-Фев-21, 23:09

> на кой чёрт мне сип и webrtc в браузере?
> на кой чёрт я должен страдать из-за ретардов, которые не могут в
> установку отдельного мультимедийного ПО?
> причем страдать не по каким то там идейным показателям жора озу/цпу, а
> по вполне реальным тестам безопасности.
> почему браузеры равняются на дебилов?
есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими кривыми ручками не запустил винлокер.
вся работа ведётся в браузере - для этого и онлайн офисы создаются, и сип клиенты.

Ответить | Правка | Наверх | Cообщить модератору

68. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от darkshvein (ok), 02-Фев-21, 00:19

> есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими
> кривыми ручками не запустил винлокер.
> вся работа ведётся в браузере - для этого и онлайн офисы создаются,
> и сип клиенты.
а-ха-ха, в наиболее дырявом софте. узнаю виндоадминов.

Ответить | Правка | Наверх | Cообщить модератору

71. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..." +/–

Сообщение от ГОНЩИК (?), 06-Фев-21, 15:50

Ставь PALEMOON в нем webrtc вырезан и всякое дерьмо ,сейчас он на гиконе  на 1 процессе .Даже ublock запилили ваще кайф

Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

72. "Новый вариант атаки NAT slipstreaming, позволяющей..." +/–

Сообщение от arisu (ok), 09-Фев-21, 08:36

главное — не останавливаться, и добавлять в браузеры ещё больше всяких API. потому что это модно и безопасно!

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

4. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+11 +/–
Сообщение от Онаним (?), 28-Янв-21, 22:51
И вот это вот овнище только что приняли в качестве стандарта. Малацы.
Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+1 +/–
	Сообщение от АнДанте (?), 28-Янв-21, 23:02
	Верно, в проклЯтое время живем...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	36. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+1 +/–
	Сообщение от Урри (ok), 29-Янв-21, 13:28
	В обычное смузивремя, что вы.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	58. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от asdf (?), 30-Янв-21, 15:50
	хоть цепочка дырявого софта в этом виде атаке длинная, виноват канешна-же NAT...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Аноним (10), 28-Янв-21, 23:45
	Обход нат в webrtc используется для прямой передачи данных между компьютерами за nat. Для защиты используйте фаервол
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	12. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+4 +/–
	Сообщение от Онаним (?), 28-Янв-21, 23:51
	Один фиг, это счастье как раз рассчитывает на stateful filtering. Часть роутеров благополучно пробьют дырку и без всяких натов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+2 +/–
	Сообщение от Аноним (-), 29-Янв-21, 01:17
	> И вот это вот овнище только что приняли в качестве стандарта. Уже давно обязали его жрать и не отвлекаться. Почему нет хвалебных коментов ? Ох недоработка гулга..
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	25. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Аноним (25), 29-Янв-21, 05:47
	У гугла в последнее время кризис, даже фанатики начали от них бежать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+2 +/–
	Сообщение от Урри (ok), 29-Янв-21, 13:32
	Просто гугл переборщил с aнaльным вставлянием рекламы по поводу и без. Настолько, что испортил свой собственный поиск. Вот народ и начал разбегаться.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Аноним (-), 29-Янв-21, 14:45
	> гугл .... испортил свой собственный поиск. Вот народ и начал разбегаться. 1) Что значит "испортил... поиск" - Вы заметили ухудшение выдачи? 2) Какой народ? Куда разбегаться? Вы о чём? Есть пруфы?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	–1 +/–
	Сообщение от darkshvein (ok), 01-Фев-21, 00:11
	- Вы заметили ухудшение выдачи? Вы о чём? Есть пруфы? есть. ищи.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от darkshvein (ok), 01-Фев-21, 00:11
	> испортил свой собственный поиск. с разморозкой!! только что заметили?
	Ответить \| Правка \| К родителю #37 \| Наверх \| Cообщить модератору


	70. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Михаил (??), 05-Фев-21, 14:19
	Чушь не пори
	Ответить \| Правка \| К родителю #37 \| Наверх \| Cообщить модератору


	39. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+1 +/–
	Сообщение от Аноним (-), 29-Янв-21, 14:43
	> У гугла в последнее время кризис, даже фанатики начали от них бежать. какой кризис? какие фанатики? вы о чём именно? есть пруфы?
	Ответить \| Правка \| К родителю #25 \| Наверх \| Cообщить модератору


	53. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Аноним (-), 29-Янв-21, 19:31
	> Ох недоработка гулга.. Твой аккаунт еще не зобанили? Вот это недоработка, но абьюз тим уже взял тебя на карандаш за нарушение ToS.
	Ответить \| Правка \| К родителю #14 \| Наверх \| Cообщить модератору


	52. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Аноним (-), 29-Янв-21, 19:29
	> И вот это вот овнище только что приняли в качестве стандарта. Которое из них?
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	55. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Атон (?), 30-Янв-21, 14:33
	Только что? Какой год у тебя на календаре? Да, к черту! не важно! Парень, как только создадут Евросоюз смело покупай новую валюту, евро!
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	56. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Онаним (?), 30-Янв-21, 15:11
	Я не знаю, какой год у тебя на календаре, но... 28.01.2001 - Технология WebRTC получила статус стандарта
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от Онаним (?), 30-Янв-21, 15:12
	Ахах блджад, да, 2001 Появится евро - обязательно куплю. Знал бы - сразу бы купил, а так - только в 2014 так делал. Не прогадал. 2021 конечно Но не суть
	Ответить \| Правка \| Наверх \| Cообщить модератору

6. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+2 +/–
Сообщение от Annoynymous (ok), 28-Янв-21, 22:52
smart doormat — это прекрасно!
Ответить \| Правка \| Наверх \| Cообщить модератору

7. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
Сообщение от Аноним (7), 28-Янв-21, 22:58
Ну вы просто галочку поставьте и не парьтесь.
Ответить \| Правка \| Наверх \| Cообщить модератору

9. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+14 +/–
Сообщение от Аноним (10), 28-Янв-21, 23:42
Nat не для защиты. Обход НАТ это не баг, а фича
Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+15 +/–
	Сообщение от Онаним (?), 28-Янв-21, 23:50
	От наличия или отсутствия NAT тут ничего не меняется. Проблема в обходе stateful filtering. NAT тут только часть целого. Вообще тут ещё к кодописцам ALG в роутерах есть вопросы: какого фига пакеты с флагом фрагмента скармливаются ALG без предварительной дефрагментации.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+4 +/–
	Сообщение от Гентушник (ok), 29-Янв-21, 01:43
	Вот именно. Нужно фиксить этот баг на уровне ядра, а не в браузерах банить очередную порцию портов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+1 +/–
	Сообщение от Аноним (17), 29-Янв-21, 01:59
	что-то мне подсказывает, что сквозь ipfw reass (и pf) хрен пролезет это чудище...
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору


	41. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	–1 +/–
	Сообщение от Аноним (41), 29-Янв-21, 14:46
	> Проблема в обходе stateful filtering Это вы где вычитали? Проблема только в ALG, ALG это часть NAT.
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору


	45. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+2 +/–
	Сообщение от Аноним (45), 29-Янв-21, 14:59
	ALG это внезапно часть stateful tracking, а не NAT. Которая влияет как на NAT, так и на фильтрацию. Например порты RTP открывает, читая SIP.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+/–
	Сообщение от pofigist (?), 29-Янв-21, 17:43
	Cisco ASA смотрит на тебя с недоумением...
	Ответить \| Правка \| К родителю #9 \| Наверх \| Cообщить модератору

13. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+5 +/–
Сообщение от онанимус (?), 29-Янв-21, 00:19
> smart doormat > internet connected oven то чувство, когда саркастичная ирония и не ирония вовсе, а киберпанк, который мы заслужили.
Ответить \| Правка \| Наверх \| Cообщить модератору

15. "Новый вариант атаки NAT slipstreaming, позволяющей отправить..."	+5 +/–
Сообщение от Аноньимъ (ok), 29-Янв-21, 01:21
Через какую же попу все описанные технологии работают. Это просто жуть.
Ответить \| Правка \| Наверх \| Cообщить модератору