linux udp 防火墙 161,一次穿透 iptables 防火墙的 UDP 攻击报文真实案例分析

最新推荐文章于 2023-06-23 00:09:27 发布
最新推荐文章于 2023-06-23 00:09:27 发布
阅读量851 收藏 1
点赞数
文章标签： linux udp 防火墙 161

[root@platinum-PT ~]# tcpdump -ieth0 -nnnvvv udp and port 161

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

16:50:07.035719 IP (tos 0x0, ttl  64, id 32494, offset 0, flags [+], proto 17, length: 1500) platinum-PT >209.59.150.117.161:  { SNMPv2c {GetResponse(35) R=20039  .1.3.6.1.2.1.1.1.0="Linux C"} }

16:50:12.035509 IP (tos 0x16,ECT(0), ttl  49, id 30047, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.046640 IP (tos 0x16,ECT(0), ttl  49, id 30078, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.058869 IP (tos 0x16,ECT(0), ttl  49, id 30075, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.063363 IP (tos 0x16,ECT(0), ttl  49, id 30039, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.074612 IP (tos 0x16,ECT(0), ttl  49, id 30095, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.075511 IP (tos 0x16,ECT(0), ttl  49, id 30092, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.080521 IP (tos 0x16,ECT(0), ttl  49, id 30015, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.086440 IP (tos 0x16,ECT(0), ttl  49, id 30031, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.089447 IP (tos 0x16,ECT(0), ttl  49, id 30001, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.137224 IP (tos 0x16,ECT(0), ttl  49, id 30034, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:12.179586 IP (tos 0x16,ECT(0), ttl  49, id 30044, offset 0, flags [none], proto 17, length: 65) 209.59.150.117.161 > platinum-PT: [udp sum ok]  { SNMPv2c { GetBulk(22) R=20039  N=0 M=2250 .1.3.6.1 } }

16:50:14.799292 IP (tos 0x0, ttl  64, id 32495, offset 0, flags [+], proto 17, length: 1500) platinum-PT > 209.59.150.117.161:  { SNMPv2c { GetResponse(35) R=20039  .1.3.6.1.2.1.1.1.0="Linux C"} }

16:50:23.250338 IP (tos 0x0, ttl  64, id 32496, offset 0, flags [+], proto 17, length: 1500) platinum-PT > 209.59.150.117.161:  { SNMPv2c { GetResponse(35) R=20039  .1.3.6.1.2.1.1.1.0="Linux C"} }

16:50:35.448431 IP (tos 0x0, ttl  64, id 32497, offset 0, flags [+], proto 17, length: 1500) platinum-PT > 209.59.150.117.161:  { SNMPv2c { GetResponse(35) R=20039  .1.3.6.1.2.1.1.1.0="Linux C" }

通过抓包发现，原来真的有攻击，从抓包看，攻击是突发性质的，当有攻击时：

频率：≈ 10Hz

周期：≈ 0.1s

类型：请求 snmpd 的根信息 "Linux C"

原理：通过请求比较高级别的根内容，使系统处于高负载状态；由于频率较高，高负载状态很难消除。

恶意性：为了突破某些无状态防火墙，来源端口 sport 特意也是用了与 snmpd 服务相同的 UDP/161，很阴险。

规则检查

不过奇怪的问题来了，我的防火墙是基于状态检测的，可以轻易区分进来的报文是主动请求进来的，还是我主动发出后的回包。

既然这样，为何 snmpd 报文还是会被系统收到并处理呢？是不是 iptables 规则使用存在问题？

经查看，规则很简单，大体如下：

iptables -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p udp --dport 161 -s IP1 -j ACCEPT

iptables -A INPUT -p udp --dport 161 -s IP2 -j ACCEPT

iptables -A INPUT -p udp --dport 161 -s IP3 -j ACCEPT

iptables -A INPUT -j DROP

通过观察，未发现异常，针对 snmpd 报文，系统只允许了 3 个特殊 IP 访问，那么就奇怪了，这个攻击报文是怎么进来的呢？

conntrack 特性分析：UDP 与 TCP 的差异

众所周知，iptables 只是 userspace 的 controller，真正的主体是 netfilter，而 conntrack 则是 netfilter 的一个重要组成部分。

conntrack 的核心价值，就是为 Linux 实现了基于状态的防火墙。

在 Linux 中，当启用了 conntrack 后，即使是 UDP 报文，也是有“新建连接”(NEW)和“已连接”(ESTABLISHED)概念的。

不过与 TCP 不同的是，TCP 是有三次握手的，通过分析三次握手时数据报文头部的合规性可以知道当前数据是否有效。

但是，UDP 则不同，在 Linux 中，只有“去”和“回”两个概念，当系统第一次看到 UDP 包，视为 NEW，看到该包的回包后，视为 ESTABLISHED。

推理

知道了这个，大概可以猜出问题所在了，一定和 conntrack 有关。

猜测失控过程：

1、系统未启动 conntrack 时，已经有攻击报文 request 进来了

2、当系统启动 conntrack 机制时，恰好有系统回 response 包，被系统 conntrack 当做了主动发出数据，是 NEW 状态

3、系统的 iptables 规则最后有阻断功能，这个包虽然被拦掉

但后续攻击报文用同样的 SIP/SPORT 访问同样的 DIP/DPORT，导致 hash 后认为是同一条连接

此次的攻击报文被无当做上一次 NEW 状态的回包，此次该连接变成了 ESTABLISHED 状态

4、今后所有 SIP/SPORT 到 DIP/DPORT 的数据均通行无阻，导致最开始看到的场面

验证

为了证明推理是正确的，刻意写了一个 shell，在第一行 -m state --state RELATED,ESTABLISHED -j ACCEPT 后加入 sleep 以增加重现概率

实验表明，推理完全正确，UDP 攻击报文的回包被当做了 NEW，而真正的攻击则成了 ESTABLISHED。

第一句的位置，也是导致问题出现的主要原因。

尝试解决

为了杜绝这种情况的发生，思考，将 state 匹配放到最后是否可行？

答案是“不可以”，因为一样可能发生前面说的时间差导致的状态误判情况发生。

怎样做才是最稳妥的办法呢？

想了个办法：

1、先 service iptables stop

2、先写第一行规则，无条件 -j DROP 任何东西

3、写其他规则，该怎么写怎么写

4、当规则生效后等一段时间(保证此时间超过 snmpd 报文打进来后的系统响应时间)，再删掉第一行规则，让数据涌进来(像开闸放水)

可惜，通过实测，攻击报文仍然可以进来，这个太奇葩了！

/etc/init.d/iptables stop 行为分析

看到上述疑点，不得不怀疑 iptables 脚本中 stop 功能的实现了。

理论上 iptables 在 stop 的时候，不仅会清除所有规则，也会删掉所有 iptables 所用到的模块，这其中也包含了 conntrack。

推理：如果 iptables 的 stop 功能工作异常，那么就无法正确卸载 conntrack，那么上述方法就无济于事了。

stop() {

# Do not stop if iptables module is not loaded.

[ -e "$PROC_IPTABLES_NAMES" ] || return 1

flush_n_delete

set_policy ACCEPT

if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then

echo -n $"Unloading $IPTABLES modules: "

ret=0

rmmod_r ${IPV}_tables

let ret+=$?;

rmmod_r ${IPV}_conntrack

let ret+=$?;

[ $ret -eq 0 ] && success || failure

echo

fi

rm -f $VAR_SUBSYS_IPTABLES

return $ret

}

红色部分是清除 conntrack 的关键语句。继续跟踪：

IPTABLES=iptables

IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6

脚本最初有上述定义，也就是说，最后 IPV 的取值是 "ip"，卸载模块时卸载的是 ip_conntrack。

手动验证一下：

[root@platinum-PT ~]# modprobe ip_conntrack

[root@platinum-PT ~]# iptables -A INPUT

[root@platinum-PT ~]# /etc/init.d/iptables stop

Flushing firewall rules:                                   [  OK  ]

Setting chains to policy ACCEPT: filter                    [  OK  ]

Unloading iptables modules:                                [  OK  ]

[root@platinum-PT ~]# lsmod |grep conntrack

nf_conntrack_ipv4      22028  0

nf_conntrack           67784  1 nf_conntrack_ipv4

[root@platinum-PT ~]#

通过观察发现，conntrack 确实没有被卸载，但注意到了一点，模块名字不是 ip_conntrack 而是 nf_conntrack。

似乎明白了，验证一下：

[root@platinum-PT ~]# cat /etc/redhat-release

Red Hat Enterprise Linux AS release 4 (Nahant Update 2)

[root@platinum-PT ~]# uname -r

2.6.24.4-7

[root@platinum-PT ~]#

知道原因了：

系统是 RHEL 4U2，默认内核应该是 2.6.9，那时的 netfilter 使用的 conntrack 模块叫 ip_conntrack

系统的当前内核是 2.6.24.4，此时的 netfilter 所使用的 conntrack 模块叫 nf_conntrack 和 nf_conntrack_ipv4

由于 RHEL 4U2 的 /etc/init.d/iptables 脚本是为 2.6.9 内核写的，因此在 stop 时不能正确卸载 2.6.24.4 内核的 conntrack

卸载 conntrack 解决方案

修改

rmmod_r ${IPV}_conntrack

改为

rmmod_r nf_conntrack

因为是定制系统，未做详细的判断和动态自适应等工作。

总结

特殊时机生效的 ACL 导致 conntrack 误认为攻击报文的回包是 NEW

攻击报文恶意使用固定 sport，使 conntrack 误认为是同一个 connection

iptables 规则的逻辑问题致使穿透攻击有可能发生(虽然是小概率事件)

System script 与 kernel 的不匹配导致不能正确卸载 conntrack，使问题依然存在

Ga小草帽
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
tcpdump显示udp包_LINUX tcpdump工具接收udp端口的包
weixin_35948624的博客
12-23 313
[root@alarmnode01~]#tcpdump-vv-s0-ibond0udpport51162tcpdump:listeningonbond0,link-typeEN10MB(Ethernet),capturesize65535bytes10:32:30.540174IP(tos0x0,ttl55,id0,offset0,fl...
Linux 防火墙软件 IPtables使用详解.docx
最新发布
11-09
Linux 防火墙软件 IPtables使用详解.docx
UDP 161
summerlion的博客
03-05 6931
UDP161端口：161端口是用于“Simple Network Management Protocol”,该协议主要用于管理TCP/IP网络中的网络协议，目前，几乎所有的网络设备厂商都实现对SNMP的支持。Net-SNMP：net-snmp是一个免费的、开源的SNMP实现。它包括agent和多个管理工具的源代码，支持多种扩展方式。初次之外，还提供了一些开发配置工具。...
记一次防火墙被暴力破解之事
爱意随风起，人生不可弃。
11-13 5121
在短短几个小时，攻击日志就有40多页，在被攻击的这段时间，防火墙的cpu忽高忽低，网络波动剧烈，在当天内网同事反应，处于某vlan的数台数据库服务器掉线多次，个别用户的网络质量反馈较差。建议大家，尽量别开启外网web管理，或是修改管理端口号，最终要对管理员账户的密码设置复杂性高的，或者定期更改密码，个人是将防火墙密码就是字符数字字母等加起来23位左右。防火墙修改之后，攻击戛然而止，对方又选择攻击ipsec vpn，不过呢，尝试了3次，对方放弃了，可能是ipsec vpn有严格加密，破解较难，这是一个猜测。
常用tcp和udp重要协议端口号
weixin_34319374的博客
01-15 1917
最进协议端口号老是忘记，这里给自己写一份笔记，为自己今后看起来比较方便。 TCP 协议名称 端口号 套接字 作用 Telnet 专司终端模拟 23 Tcp 23 它为用户提供了在本地计算机上完成远程主机工作的能力 SMTP 简单邮件传输协议 25 Tcp 25 它帮助每台计算机在发送或中转信件时找到下一个目的地 HTTP 超文本传输协议 80 Tcp 80 超文本传输协议，...
linux网络编程之TCP/IP基础（二）：利用ARP和ICMP协议解释ping命令
Meditation
05-22 1万+
一、MTU 以太网和IEEE 802.3对数据帧的长度都有限制，其最大值分别是1500和1492字节，将这个限制称作最大传输单元（MTU，Maximum Transmission Unit） 如果IP层有一个数据报要传，而且数据的长度比链路层的MTU还大，那么IP层就要进行分片（Fragmentation），把数据报分成若干片，这样每一片都小于MTU。 当网络上的两台主机互相进行通信时，两台
linux iptables防火墙黑名单(封IP) Connection reset by peer
01-11
linux iptables防火墙黑名单(封IP) Connection reset by peer
linux中iptables防火墙设置
09-02
首先设置禁止所有的数据流传出传入策略，...注意使用centos7及以上版本系统使用该方法时候禁用firewalld防火墙服务，并下载iptables服务 systemctl disable firewalld --now yum install iptables-services iptables -y
Linux Ubuntu系统iptables防火墙配置
11-11
为了确保服务器安全，防止未经授权的或恶意的访问、攻击，同时避免暴露服务器端口，提升系统及数据库稳定性、加强、加固服务器安全；因此需要配置防火墙规则，避免非法访问和未经许可的探测。 操作系统：Ubuntu ...
linux_防火墙[iptables][firewalld]使用.txt
08-28
该笔记由博主本人亲自整理撰写，介绍以及各方面的操作都进行了简化提示，很适合linux的萌新进行学习，内容大致：【命令介绍】【使用介绍】【简化记忆】
抓包工具 tcpdump
weixin_34367257的博客
12-10 109
抓包工具 tcpdump TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息，tcpdump，就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。 默认情况下，tcpdump...
ICMP协议
bobi1024的博客
12-31 265
ICMP协议一.概述二.PING二.Tracert/Traceroute的原理 一.概述 互联网信息控制协议，Internet Control Message Protocol用于实现链路连通性测试和链路追踪，可以实现链路差错报告。ICMP运行在传输层协议，服务于IP协议。 ICMP工具(基于ICMP协议开发的软件)： Ping Traceroute/Tracert 二.PING 探测目的主机是否有问题，探测本地到目的的延迟等 Echo request 回显请求 Echo reply 回显应
多EIP下的UDP通信异常分析
quanzhan_King的博客
06-23 823
经常可以看到远端 IP 地址和远端端口号都显示为 .(或 0.0.0.0:*)，其意思是该 socket 将接受来自任何 IP 地址和任何端口号的 UDP 数据报。只有当 UDP 包的目的 IP 地址与指定的地址相匹配时，该包才能被送到创建该 UPD socket 的业务层。副作用:如果在指定远端地址(IP 和 PORT)时没有选择本地地址，那么内 核将自动选择本地地址。如果为 UDP socket 指定了特定 IP 地址，那 么在匹配目的地址时，始终优先匹配该 IP 地址。防火墙：对外提供的端口全开放。
linux系统有高危端口吗,Linux系统下用iperf诊断网络端口是否有被过滤
weixin_42310271的博客
05-06 405
但cacti监测服务器却拿不到数据，开始还以为是服务器的防火墙过滤了udp 161端口的数据，但清空了iptables的所有规则，默认策略也已是ACCEPT了，Cacti服务器还是获取不到任何数据，怀疑是IDC服务商对服务器做了限制，于是打算在服务器ServiceLabs上安装iperf，用它来监听udp端口161，然后在Cacti端以客户端方式运行iperf命令连接到服务器端的iperf做测试，...
linux 防火墙开通161端口_知识分享：Linux 监控/SNMP配置
weixin_36104309的博客
01-26 1806
Linux系统的SNMP服务设置1) 安装SNMP一般情况下Linux中的均已经自动安装了SNMP服务。以下命令可以检测SNMP服务是否安装以及安装的文件包。[root@idc ~]# rpm -qa |grep snmp
net-snmp-libs-5.1.2-11.EL4.7
net-snmp-5.1.2-11.EL4.72) 配置SNMP按照如下方式修改/etc/snmp/snmpd.con...
Linux下开放161端口
chouju2244的博客
04-07 3110
当使用SNMP的时候默认端口是161（例如：使用360网站服务监控），这时候如果防火墙有限制是访问不成功的！ 此处要记住SNMP的协议是UDP，修改防火墙文件命令如下： 1、编辑iptables文件 vi /etc/sysconfig/iptables 2、加入以下内容-A RH-Fi...
Ping命令返回的TTL值详解
热门推荐
u010240427的博客
09-19 4万+
转自：http://429006.com/article/Technology/160.htm Time To Live (TTL) 域的信息很有趣。每一个被发送出的IP信息包都有一个TTL域，该域被设置为一个较高的数值（在本例中ping信息包的TTL值为255)。当信息包在网络中被传输时，TTL的域值通过一个路由器时递减1；当TTL 递减到0时，信息包被路由器抛弃。 IP规范规定：T
linux 网络检测常用命令(tcp/udp 端口检测)
PKU1254的博客
07-20 1万+
1，tcp 端口检测 telnet ip port [dev@kf-dev-node-004 ~]$ telnet 10.32.2.231 5060 失败： Trying 10.32.2.231… telnet: connect to address 10.32.2.231: Connection refused 成功： [dev@kf-dev-node-004 ~]$ telne...
检查udp端口是否可用?
Cookie_1030的专栏
11-21 5768
linux 日常使用中，检查端口是否通的，一般使用telnet ip port  但此方法只适用TCP 而UDP则使用其他命令： 列如 161 端口↓↓↓↓↓↓↓↓↓↓ nc -vuz 192.168.2.10 161 Connection to 116.251.230.29 161 port [udp/snmp] succeeded! 使用命令nc即可
linux iptables防火墙
09-13
Linux的iptables防火墙是一种基于内核的防火墙工具，可以用于配置和管理网络流量的过滤规则。在CentOS 7上，默认使用的是firewalld防火墙，但可以通过关闭firewalld并安装iptables来启用iptables防火墙。 要关闭firewalld防火墙，并禁止其在开机时自动启动，可以使用以下命令： ``` systemctl stop firewalld.service systemctl disable firewalld.service ``` 然后，安装iptables和iptables-services： ``` yum -y install iptables iptables-services ``` 启动iptables服务： ``` systemctl start iptables.service ``` 接下来，您可以使用iptables命令来配置规则。例如，如果您想对源网段的流量进行SNAT转换到公网地址，可以使用以下命令： ``` iptables -t nat -A POSTROUTING -s 源网段 -o 出站网卡 -j SNAT --to 转换的公网地址 ``` 请根据您的具体需求自行修改源网段、出站网卡和转换的公网地址。 通过这些步骤，您可以在CentOS 7上启用并配置iptables防火墙。请注意，iptables的配置非常灵活，您可以根据需要进行更多的配置和定制。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值