| 1.2, Аноним (-), 15:28, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
Удобна штука upnp, но последние новости как-то не радуют.
Обычно пользовался когда временно нужен доступ мимо впн к spice серверу с авторизацией.
upnpc -a 192.168.1.102 5900 5900 tcp
| | |
| 1.3, Ivan_83 (ok), 15:36, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Надо будет в моём SSDPd добавить крутилку чтобы задавать TTL для ответов.
| | |
| 1.5, Аноним (-), 16:07, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
В miniupnpd разве эта проблема не решается настройкой secure_mode=yes (выставленной в openwrt по умолчанию) при которой ответы будут отправляться только на адрес с которого пришел запрос и только в том случае если перенаправление запрашивалось на тот же адрес с которого пришел запрос?
И зачем вообще upnp вещать на интерфейс смотрящий во внешнею сеть?
| | |
| |
| 2.8, PnDx (ok), 18:26, 29/06/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
 "только на адрес с которого пришел запрос"
Вот туда и отправляется. Аж целых 7 пакетов.
"во внешнею сеть"
По-умолчанию, как обычно.
| | |
| |
| 3.9, Аноним (-), 19:43, 29/06/2017 [^] [^^] [^^^] [ответить]
| +/– |
Из новости:
> Проблема заключается в том, что подобные запросы не ограничиваются локальной сетью, обрабатываются при поступлении на обычный (unicast) IP и используют протокол UDP, позволяющий выполнить спуфинг (указать фиктивный обратный IP-адрес).
Так ведь вроде как смысл атаки как раз в том чтобы слать ответы на фиктивный обратный IP-адрес. Если слать на адрес отправителя запроса то ddosить будут сами себя.
| | |
| |
| 4.11, angra (ok), 21:12, 29/06/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Отправитель может подставить в IP заголовке в поле source address вместо своего адрес жертвы. На этом основаны все атаки с умножителями, как впрочем и большинство других.
| | |
| |
| 5.12, Аноним (-), 21:27, 29/06/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
| | |
| |
| 6.13, Anonim (??), 23:03, 29/06/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
Так для них по барабану, какой src стоит
| | |
| |
| 7.15, Аноним (-), 23:44, 29/06/2017 [^] [^^] [^^^] [ответить]
| +/– |
>> но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
> Так для них по барабану, какой src стоит
что-то я сомневаюсь что админы магистралов таким способом "подрабатывают". скорее всего админы некоторых дц не осилили фильтрацию :)
| | |
| |
| |
| 9.18, angra (ok), 09:51, 30/06/2017 [^] [^^] [^^^] [ответить] | +/– | Речь о фильтрации не входящего udp-спуфинга, а исходящего Каждый конечный ISP з... текст свёрнут, показать | | |
|
| |
| 9.23, пох (?), 11:24, 30/06/2017 [^] [^^] [^^^] [ответить] | +/– | а вот это как раз после первого хорошего ddos а на любимого клиента само образ... текст свёрнут, показать | | |
|
|
|
| 6.19, пох (?), 10:04, 30/06/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> причем на условиях транзита (другие просто не примут пакеты с чужими ип).
с разморозкой. 1996й год давно прошел, никто уже не вешает фильтры на каждый клиентский порт. Хомянеттеры не в счет, с них много не наддосишь. Хотя я и хомянеттеров никогда не фильтровал, нахрен не нужен геморрой себе на жопу своими же руками.
А в свете "мигрирующих" v4 блоков уже и фильтрация bgp благополучно пошла лесом (да и была-то она почти только в области деятельности ripe, остальные тоже давно забили... э... даже, пожалуй, предположу не столько ripe, сколько трех стран с кодом +7)
| | |
|
|
|
|
|
| 1.14, Аноним (-), 23:21, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Всегда когда покупал какой-нибудь роутер, сразу отключал UPnP и открывал порты вручную. Всегда эта фича казалась жуткой уявзимостью. Ведь любая прога может легко открыть порт для коннектов извне без моего ведома, то есть, по сути, прогонять через мой комп несанкцианированный мною трафик.
| | |
| 1.21, iZEN (ok), 10:15, 30/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Отключаю службу UPnP. Не представляю, зачем она нужна. Это ДЫРА.
| | |
| 1.26, odintsov (ok), 22:15, 30/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Всем привет!
Как обычно - рекомендую наш open source инструмент, https://github.com/pavel-odintsov/fastnetmon SSDP умеем уже почти два года.
Кроме этого, можем порекомендовать магистрального провайдера RasCom, так как они позволяют применять BGP Flow Spec и отсекать подобный паразитный трафик до того, как он дойдет до вашего оборудования.
| | |
| 1.27, Anonplus (?), 23:04, 30/06/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Народ, а есть ли хоть какой-то смысл держать включённым UPnP на роутере, если я сижу за провайдерским натом?
| | |
|
