Блокирование попыток эксплуатации heartbeat-уязвимости в OpenSSL средствами iptables: различия между версиями
Материал из support.qbpro.ru
imported>Vix (Новая страница: «Пример блокирования критической уязвимости CVE-2014-0160 в OpenSSL 1.0.1, позволяющей получить сод…») |
imported>Vix Нет описания правки |
||
| Строка 15: | Строка 15: | ||
tshark -i interface port 443 -R 'frame[68:1] == 18' | tshark -i interface port 443 -R 'frame[68:1] == 18' | ||
tshark -i interface port 443 -R 'ssl.record.content_type == 24' | tshark -i interface port 443 -R 'ssl.record.content_type == 24' | ||
Пример из правил iptables: | |||
-A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" | |||
-A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP | |||
-A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" | |||
-A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP | |||
-A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" | |||
-A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" | |||
-A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j DROP | |||
-A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j DROP | |||
[http://www.opennet.ru/tips/2830_openssl_block_iptables_heartbeat.shtml взято тут...] | [http://www.opennet.ru/tips/2830_openssl_block_iptables_heartbeat.shtml взято тут...] | ||
Текущая версия от 11:26, 11 мая 2014
Пример блокирования критической уязвимости CVE-2014-0160 в OpenSSL 1.0.1, позволяющей получить содержимое памяти удалённых серверных и клиентских приложений.
Отражаем в логе все heartbeat-запросы при помощи iptables и модуля u32:
iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT"
Блокируем heartbeat-запросы:
iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP
Отслеживаем возможные атаки при помощи Wireshark:
tshark -i interface port 443 -R 'frame[68:1] == 18' tshark -i interface port 443 -R 'ssl.record.content_type == 24'
Пример из правил iptables:
-A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" -A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP -A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" -A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP -A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" -A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" -A INPUT -p tcp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j DROP -A INPUT -p udp -m multiport --dports 22,25,465,993,1194 -m u32 --u32 "0>>22&0x3C@ 12>>26&0x3C@12=0x18030000:0x1803FFFF" -j DROP
