kann localhost gefälscht werden?

9

Ist es einem Remotecomputer möglich, durch Spoofing der Loopback-IP auf die Localhost-Daten eines anderen Computers zuzugreifen?

Angenommen, ich möchte ein Setup, bei dem ich bei einer Verbindung von außerhalb meines eigenen Netzwerks Anmeldeinformationen angeben muss und mein Kennwort für alle vertraulichen Vorgänge erforderlich ist. Wenn ich jedoch eine Verbindung von meinem Computer aus herstelle, werden diese Anmeldeinformationen nicht benötigt, da ich mich bei meinem Betriebssystem anmelden muss, um auf das Netzwerk auf diesem Gerät zuzugreifen. Kann ich mich auf diese Weise als Sicherheitsmaßnahme auf die Loopback-Adresse verlassen? Oder kann ein Angreifer den Eindruck erwecken, dass er eine lokale Verbindung herstellt?

security localhost bee.catt
quelle
Ich glaube nicht.
SpacemanSpiff
1
Meinen Sie damit, dass der Computer ein gefälschtes Paket empfängt, das anscheinend von 127.0.0.1 stammt? Oder wollen Sie den Computer dazu bringen, ein gefälschtes Paket zu empfangen, das an 127.0.0.1 adressiert ist ?
David Schwartz
Ich meine, im Grunde kann jemand in meine localhost-Daten eindringen und {was auch immer} damit machen, indem er vorgibt, localhost zu sein.
bee.catt
Es ist nicht klar, was "Einbruch in meine lokalen Hostdaten" bedeutet. Bedeutet das, dass Ihr Computer ein Paket empfängt, das anscheinend von 127.0.0.1 stammt?
David Schwartz

Antworten:

12

Nein.

Es ist möglich, Daten als gefälschte 127.0.0.1 zu senden, aber die Antwort geht "out" (bleibt tatsächlich drinnen) der Loopback-Schnittstelle und geht "verloren".

Wenn ein Router unterwegs ist, sendet er das Paket über seine eigene Loopback-Schnittstelle und geht dort verloren.

Mulaz
quelle
ok, wenn ich das alles richtig verstehe, könnte ein Angreifer möglicherweise etwas IN senden, aber er könnte nichts zurückbekommen, da der Loopback nur mit sich selbst spricht. Wenn dies korrekt ist, kann ein Angreifer dann bösartigen Code einsenden, der eine Remoteverbindung ermöglicht, oder sogar nur einen Code, der im Allgemeinen Probleme verursacht?
bee.catt
Sie haben eine Routing-Tabelle in Ihrem PC, die angibt, welche Pakete wohin gehen. (Route -n auf * nix). Sie haben dort einen Eintrag für 127.0.0.0/8, der über die Loopback-Schnittstelle ausgegeben werden soll (geht tatsächlich nicht aus, da es sich um einen Loopback handelt). Wenn also der Angreifer von Ihrem LAN ein Paket an Ihren PC sendet, kann Ihr PC es akzeptieren, aber das Rückpaket geht verloren, da es in Ihrem PC verbleibt (vom Loopback "ausgesendet")
mulaz
1
Eine interessante Idee. Die Loopback-Schnittstelle hat jedoch keine MAC-Adresse. Sie müssten also den MAC des Zielcomputers (technische Ziel-NIC) in Kombination mit einer IP haben, die nicht zu diesem MAC gehört, und hoffen, dass der empfangende Netzwerkstapel ihn akzeptiert. Und dann muss das Paket von etwas akzeptiert werden, das Daten erwartet und wahrscheinlich auch die echte IP abhört. Trotzdem ein schöner Gedanke.
Hennes
Sie können den Mac von der Ethernet-Karte aus verwenden (wenn Sie ein Paket an z. B. Google 8.8.8.8 senden, senden Sie es mit 8.8.8.8 als dst. IP an den MAC Ihres Routers. Auf dem Computer muss natürlich die IP-Weiterleitung aktiviert sein.
Mulaz
Was ist mit Angriffen auf die Kontrollebene? Mit einer gestalteten Quelladresse wie 127.0.0.1 ist es möglich, einige ACLs zu umgehen?
sdaffa23fdsf
6

Ja. Überraschenderweise ist es möglich, eine Loopback-Quelladresse zu fälschen. Offensichtlich erhalten Sie keine Antworten, daher muss Ihr gefälschtes Paket auch einen Exploit enthalten. Außerdem wird es an einem Router gestoppt, sodass Sie sich im selben lokalen Netzwerk wie das Opfer befinden müssen. Das entfernte Loch CVE-2014-9295 war auf diese Weise ausnutzbar.

Es stellt sich heraus, dass sich OS X und der Linux-Kernel in diesem Fall ähnlich verhalten. Jedes IP-Paket, das auf einer externen Schnittstelle und mit der Quell-IP 127.0.0.1 ankommt, wird sofort verworfen. Wenn wir stattdessen IPv6 verwenden, können wir :: 1 tatsächlich fälschen und Steuerungsmodus-Pakete an den Daemon senden (einige Linux-Distributionen verfügen über Firewall-Regeln, die davor schützen, z. B. Red Hat). Wenn wir uns also im selben lokalen Netzwerk befinden, können wir gefälschte Pakete an die verbindungslokale Adresse des Ziels senden und die IP-Einschränkungen umgehen.

http://googleprojectzero.blogspot.de/2015/01/finding-and-exploiting-ntpd.html

sourcejedi
quelle
Dies ist die wahre Antwort ...
DeepS1X
3

Loopback-Daten gelangen normalerweise nie ins Netzwerk. Es wird abgefangen und zurückgeschleift, bevor dies geschieht. Da es niemals das eigentliche Netzwerk trifft, kann es nichts im Netzwerk abfangen.

Hennes
quelle
1

Nein. Der Loopback ist fest codiert. /etc/hostsDies ist der erste Ort, an dem der Resolver nach einer Loopback-zu-IP-Übersetzung sucht. Wenn Sie / etc / hosts nicht bearbeiten können, können Sie dies nicht tun.

Wenn Sie / etc / hosts bearbeiten können, sind Sie Administrator und können alles tun.

mnmnc
quelle