[HaBo]

Frosty

Anzeige

Hi leute ich weis ich hab mir viel vorgenommen aber ist es möglich Firewalls auszuhebeln? Mit welchen Programmen, Exploits etc. funzt sowas? Ich denke zb. an Norton Internet Security oder Kaspersky Anti-Hacker... meine Frage ist einfach nur ob es Exploits oder andere Tricks gibt die Schwachstellen dieser Firewalls ausnutzen können um diese zu umgehen?

Tec

Natürlich ist es möglich FWs auszuhebeln. Viele dieser Produkte haben Schwachstellen. Lies dir einfach mal meine Signatur durch. Wenn du Tools dazu suchst, wirste bei uns dazu keine Infos finden. Halte dich an die Boardregeln!

Elderan

Ein Prog. auf dem anderem Rechner installieren, das per Task Manager das Prog. beendet.

Siehe Link in der Sig über mit, da ist ein beispiel code drin

^Deadfreak^

Neworder hat aufschlussreiche Berichte über sowas. Lockdown und Sygate konnte man früher mit Bufferoverflow killen.

Greetz ^Deadfreak^

t3rr0r.bYt3

jo.. "früher" hat auch ping flooding was gebracht (oft wurden alle "angriffe" mitgeloggt, gerade bei zonealarm usw. wurden pings auch als angriffe gewertet - du pingst einfach n paar millionen mal, das logfile bläßt sich n bisserl zu schnell auf --> der typ kommt ins schleudern..)

aber die zeiten sind imho vorbei.. trotzdem enthalten desktop fws immer noch jede menge vulns..

FaktorPi

hmm, ein task beenden hat wohl nur wenig mit firewall überlisten zu tuen.

Tec

Das hat sehr wohl was damit zu tun. Wenn die Software sich nicht gegen das Beenden per Task schützen kann dann ist deren Sicherheitskonzept unausgegoren!

Gulliver

"Das hat sehr wohl was damit zu tun. Wenn die Software sich nicht gegen das Beenden per Task schützen kann dann ist deren Sicherheitskonzept unausgegoren!"

Nun ja, ich kann wenn ich Zugriff auf eine Linux maschine habe auch das komplette Regelwerk löschen, bei BSD ebenso - wenn man nicht gerade ein ACL System fährt. Also prinzipiell ist die Kontrolle darüber ob eine FW an-oder ausgeschaltet werden kann nicht der job des Regelwerks an sich, was eine DF ja im endeffekt ja ist.


Und heutzutage fährt man mit der integrierten FW von XP deutlich besser als mit zusätzlicher sog. "firewall" software.

mfg

Zirias

Hallo Gulliver,
Ich denke was Tec meint ist kein Implementierungs- sondern ein Konzept-Fehler von "Desktop-Firewalls". Eine echte Firewall bietet keine Dienste an und lässt damit auch prinzipiell keinen Login von außen zu, wenn allerdings die Firewall-Software auf dem Rechner läuft, den sie schützen soll, sieht die Sache eben anders aus. Prinzipiell sollte eine Desktop-Firewall es nicht ermöglichen, von einem normalen User beendet zu werden, gegen eine Deaktivierung durch den Admin kann sie sich aber verständlicherweise nicht wehren. Wer Desktop-Firewalls einsetzt dem sollten solche prinzipiellen Schwächen eben bekannt sein

Greets, Ziri

silenced

<Fränkisch> Dogegä hifft nua BINDECH </Fränkisch>
Hardwarefirewall oder garnichts :-) wahlweise auch beides.

Riskman

Na das glaub ich wohl kaum, die integrierte Firewall von XP ist wieder nur dazu da, um dem User eine gewisse Sicherheit vorzugaukeln.

Gulliver

Da kann ich nur herzhaft lachen. Von Verkaufsstrategien von MS mal ganz zu schweigen. Aber nenn DU mir doch mal fundierte Argumente. Nichts was du mal irgendwo aufgeschnappt, gelesen, gehört etc hast.
Ich weiss das da nichts kommen wird. Zeige mir ein whitepaper wo "2bewiesen" wird das für einen stinknormalen dial-up user dieses integrierte Regelwerk NICHT ausreichend ist und welcher Angriff eine XP Maschine "geowned" hat (und komm jetzt nicht mit dem IE oder Realplayer, das ist ein völlig anderes Ding).
Bring uns Fakten.

Dieser "Konzeptfehler" tritt bei allen aufgepflanzten Regelwerken jedwerder Art auf- und ist kein spezifischer Fehler von DF Firewalls.

Das tut eine DF Firewall auch nicht, sofern die anständug konfiguriert ist.

Ist unter NT5*, sofern auch hier anständig konfiguriert auch nicht (ohne weiteres) möglich.

Ich sehe hier immer noch keine Schwächen, sondern völlig normale gegebenheiten die auch eine Linux/BSD MAschine betreffen wenn $irgendein USer physikalischen ZUgang zu der Maschine hat.

Aber egal, hauptsache dagegen, nech?

Zirias

Vielleicht wäre vorher informieren besser gewesen als gleich Leute runterzumachen:
- ICF kann keinen ausgehenden Verkehr filtern (schlecht, können fast alle anderen)
- ICF bietet eine API, über die Applikationen ihre eigenen Regeln hinzufügen können (zumindest fragwürdig)
- Die c't berichtete sogar über Regeln z.B. für Remote-Unterstützung, die komplett vor dem User versteckt werden, leider finde ich den Artikel nicht mehr.

Eine echte Firewall ist ein eigenständiges Gerät, das ganz sicher keine Dienste anbietet. Desktop-Firewalls sind oft auf Rechnern installiert, die sehr wohl Dienste anbieten.

Wer (außer dir) redet hier eigentlich von Betriebssystemen? Wenn iptables so konfiguriert wird, dass es den Rechner "schützen" soll, auf dem es läuft, ist das auch keine andere Funktionalität als eine bessere DF.

Dein Motto?

*verärgert*, Ziri

Kael

Da wir nun sowieso schon von Thema abgelitten sind, auch mal wieder was von mir. Da sich die Geister bei diesem Thema streiten, können wir uns vielleicht auf folgendes einigen:
Man kann Firewalls nicht miteinander vergleichen, es kommt immer auf ihr Einsatzgebiet an. Eine DF reicht für den 08/15 User, der nur ein wenig bei Ebay reinschaut, aus. Einen Server würde ich damit auch nicht absichern.
Und wenn nun auch einige Würmer potenzielle Schwachstellen bei DFs ausnutzen, so denke ich ist ihr Nutzen dann immer noch Größer als ihr Schaden.
Würde ich hingegen jeden PC am besten mit *NIX ausstatten, so wäre der Aufwand in keinem Verhältnis zum Ertrag. Bei Firewalls sehe ich das ziemlich ähnlich.

Just my 2 Cents

Gulliver

@zirias
Wenn du hiermit "richtiger" firewall eine "box" meinst hast du in bezug auf die Dienste auf Firewalls natuerlich recht- gleichwohl auch einige kommerzielle BOX anbieter ebenfalls iptables implementieren.


Und ich kann nahezu jeder Firewall sofern ich nur $irgendeine schnittstelle habe regeln eintrichtern..auch remote sofern sie es zualesst. eine API ist ein boeses wort. Ich kann ueberall meine individuelle "API" basteln sofern ich nur irgendwie die moeglichkeit habe etwas irgendwo reinzupippen/schreiben/senden etc etc (zb shells und web)

mfg