Bonjour,Je suis à la recherche d'in

Bonjour,

Je suis à la recherche d'informations à-propos du match '--string' ...
En fait, je me pose la question de me servir correctement de ce match pour filtrer toute requête contenant "CONNECT *.mxmail.netease.com:25"
J'ai créé une règle basique tenant compte juste de "CONNECT", mais ce que j'aimerais savoir absolument est, s'il est possible d'avoir l'usage d'expressions régulières, tel que *, etc ...

iptables -A INPUT -p tcp -m string --to 70 --algo bm --string "CONNECT " -j DROP

Voili, voilou ...

netfilter.org/documentation/ ... tml#ss3.181

De fait, j'ai peur que ce soit une fausse bonne idée ? non ?!

créé
21 févr.
dernière réponse
21 févr.
4
réponses
40
vues
2
utilisateurs
1
lien
3

PascalHambourg
21 févr.

D'après la page de manuel d'iptables, je n'ai pas l'impression que la correspondance string supporte les expression rationnelles ou les caractères génériques.
Quelle est la finalité de ce filtrage ?
PengouinPdt
21 févr.

Comme je l'ai écrit dans mon premier post, Pascal, filtrer toute requête ayant ce style : "CONNECT *.mxmail.netease.com:25.

Ce sont des requêtes qui essayent d'utiliser le mod_proxy du serveur web.
Hors, si j'ai bien compris, cela n'existe pas pour nginx, n'est-ce pas ?!

Quoiqu'il en soit, lui répond avec une erreur 400 - mauvaise requête.

L'idée de base étant de le filtrer avant que cela arrive au niveau du serveur web, ni plus ni moins.
Mais là encore, c'est peut-être une fausse bonne idée !?

Comme on le lit dans le log d'accès de nginx :

grep "CONNECT" /var/log/nginx/access.log
141.212.122.130 - - [28/Jul/2015:13:04:29 +0200] "CONNECT proxytest.zmap.io:80 HTTP/1.1" 400 166 "-" "-"
111.248.63.239 - - [28/Jul/2015:18:18:25 +0200] "CONNECT 163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"
141.212.122.147 - - [29/Jul/2015:17:01:50 +0200] "CONNECT proxytest.zmap.io:80 HTTP/1.1" 400 166 "-" "-"
36.229.232.210 - - [30/Jul/2015:11:19:20 +0200] "CONNECT 163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"
111.248.98.176 - - [30/Jul/2015:13:40:46 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"
61.228.94.37 - - [31/Jul/2015:13:58:16 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"
111.248.117.129 - - [31/Jul/2015:18:14:01 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"

Ensuite, je me dis que c'est un faux problème, puisque je réalise - là, maintenant - que les tentatives de connexion/redirections ont toutes la valeur $http_user_agent à vide, et que j'ai écris une règle dans le contexte 'http' de nginx pour bloquer ceux-ci quand ils sont vides - mais je suis toujours au niveau de la couche logicielle de nginx, et non pas réseau, n'est-ce pas ?!
PascalHambourg
21 févr.

Comme je l'ai écrit dans mon premier post, Pascal, filtrer toute requête ayant ce style : "CONNECT *.mxmail.netease.com:25.

J'avai compris. Ma question était en substance : pourquoi, dans quel but ? Tu y réponds dans la suite.

Ce sont des requêtes qui essayent d'utiliser le mod_proxy du serveur web.
Or, si j'ai bien compris, cela n'existe pas pour nginx, n'est-ce pas ?!

Je n'en sais rien, je ne connais pas nginx. Il semble pouvoir faire office de proxy. S'il peut fonctionner en proxy direct, il supporte la méthode CONNECT.

L'idée de base étant de le filtrer avant que cela arrive au niveau du serveur web, ni plus ni moins.
Mais là encore, c'est peut-être une fausse bonne idée !?

Je pense que c'est une fausse bonne idée. Il s'agit d'un filtrage de la couche applicative (couche 7 du modèle OSI) qui devrait être réalisé au niveau de l'application et non d'un filtre de paquet. Il y a plusieurs difficultés techniques à réaliser ce type de filtrage avec un filtre de paquets comme iptables, par exemple :
- Si le motif recherché est à cheval entre deux paquets successifs, la correspondance qui ne porte que sur des paquets individuels ne fonctionnera pas.
- Le but est de filtrer uniquement la méthode de la requête HTTP. Or la correspondance s'appliquera aussi si le motif se trouve ailleurs dans la communication, comme ce fut nécessairement le cas quand tu as écrit ce message, créant un faux positif. Il n'est pas trivial de dire à iptables de ne regarder que dans le 3e paquet de la connexion envoyé par le client (et ce n'est même pas suffisant si le keep-alive est activé, une nouvelle requête pouvant se trouver n'importe où dans le flux de la connexion).
- Le résultat sera que le paquet contenant le motif est bloqué. Le client peut en être averti si la règle utilise la cible REJECT au lieu de DROP, mais le serveur que tu veux protéger n'en saura rien et pour lui la connexion restera ouverte, en attente de données, occupant inutilement des ressources jusqu'au time-out.

Si ton serveur web n'est pas censé servir de proxy, il suffit d'interdire la méthode CONNECT et c'est tout.
PengouinPdt
21 févr.

(..)
Si ton serveur web n'

Ergebnisse (Deutsch) 1:

HalloIch bin auf der Suche nach Informationen Angemessenheit des Spiels "-Zeichenkette '...Tatsächlich, ich mir die Frage dieses Spiel richtig zu verwenden, um jede Anfrage mit Filtern "CONNECT *. mxmail.netease.com:25"Eine grundlegende Regel unter Berücksichtigung nur auf "CONNECT" erstellt, aber ich möchte wissen, ist, wenn es möglich ist, haben die Verwendung von regulären Ausdrücken, wie *, etc....Iptables-a INPUT Pei Tcp M. String - 70 - Algo bm - Zeichenfolge "CONNECT"-j DROPHey, Voilou...Netfilter.org/Documentation/... Tml #ss3.181In der Tat, ich befürchte, dass es eine gute Idee ist? ist nicht es? erstellt 21 Feb. letzte Antwort 21 Feb. 4 Antworten 40 Ansichten 2 Benutzer 1 Link 3PascalHambourg21 Feb.Die Iptables-manual-Seite nach, habe ich nicht drucken die Zeichenfolge Spiel unterstützt die rationalen Ausdruck oder Platzhalter.Was ist der Zweck dieses filtern?PengouinPdt21 Feb.Da schrieb ich in meinem ersten Beitrag, Pascal, Filtern jede Abfrage mit diesem Stil: "CONNECT *. mxmail.netease.com:25.Dies sind Abfragen, die versuchen, die Web Server Mod_proxy zu verwenden.Option deaktiviert ist, wie ich es verstehe, gibt es nicht für Nginx, nicht wahr?Obwohl er sein, antwortete mit einem 400 - Bad Request Fehler.Die Grundidee, die gefiltert werden, bevor das passiert auf der Web-Server-Ebene, weder mehr noch weniger.Aber dann wieder, vielleicht ist es eine gute Idee!Comme on le lit dans le log d'accès de nginx : grep "CONNECT" /var/log/nginx/access.log 141.212.122.130 - - [28/Jul/2015:13:04:29 +0200] "CONNECT proxytest.zmap.io:80 HTTP/1.1" 400 166 "-" "-" 111.248.63.239 - - [28/Jul/2015:18:18:25 +0200] "CONNECT 163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-" 141.212.122.147 - - [29/Jul/2015:17:01:50 +0200] "CONNECT proxytest.zmap.io:80 HTTP/1.1" 400 166 "-" "-" 36.229.232.210 - - [30/Jul/2015:11:19:20 +0200] "CONNECT 163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-" 111.248.98.176 - - [30/Jul/2015:13:40:46 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-" 61.228.94.37 - - [31/Jul/2015:13:58:16 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-" 111.248.117.129 - - [31/Jul/2015:18:14:01 +0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP/1.0" 400 166 "-" "-"Ensuite, je me dis que c'est un faux problème, puisque je réalise - là, maintenant - que les tentatives de connexion/redirections ont toutes la valeur $http_user_agent à vide, et que j'ai écris une règle dans le contexte 'http' de nginx pour bloquer ceux-ci quand ils sont vides - mais je suis toujours au niveau de la couche logicielle de nginx, et non pas réseau, n'est-ce pas ?!PascalHambourg21 févr. Comme je l'ai écrit dans mon premier post, Pascal, filtrer toute requête ayant ce style : "CONNECT *.mxmail.netease.com:25.Ich hatte verstanden. Die Substanz meiner Frage war: Warum, zu welchem Zweck? Sie beantworten in der Suite. Dies sind Abfragen, die versuchen, die Web Server Mod_proxy zu verwenden. Jedoch, wie ich es verstehe, gibt es nicht für Nginx, nicht wahr?Ich weiß nicht, weiß ich nicht, Nginx. Es scheint als Proxy verwendet werden. Wenn es in Forwardproxy wirken kann, unterstützt er die CONNECT-Methode. Die Grundidee, die gefiltert werden, bevor das passiert auf der Web-Server-Ebene, weder mehr noch weniger. Aber dann wieder, vielleicht ist es eine gute Idee!Ich denke, es ist eine gute Idee. Es ist eine Filterung der Anwendungsschicht (Schicht 7 des OSI-Modells), die auf der Anwendungsebene und keines Paketfilters erfolgen sollte. Es gibt mehrere technische Herausforderungen zu dieser Art der Filterung mit einem wie Paketfilter Iptables, zum Beispiel:-Wenn das Suchmuster zwischen zwei aufeinander folgenden Paketen montiert ist, wird die Korrespondenz, die nur einzelne Pakete behandelt nicht funktionieren.-Das soll nur die Methode der HTTP-Anforderung zu filtern. Aber die Korrespondenz gilt auch wenn der Grund an anderer Stelle in der Mitteilung wie zwangsläufig der Fall war, wenn man diese Nachricht schrieb einen Fehlalarm zu schaffen. Es ist nicht trivial, Iptables, nur in der 3. Anschluss-Paket vom Client gesendeten betrachten zu sagen (und das ist nicht einmal genug, wenn der Keep-alive aktiviert ist, eine neue Anforderung, die überall in der Strömung der Verbindung sein kann).-Das Ergebnis wird sein, dass das Paket enthält das Muster blockiert wird. Der Kunde kann benachrichtigt, wenn die Regel die ablehnen anstelle von DROP-Ziel verwendet, aber wird nicht des Servers, den Sie schützen möchten und die Verbindung bleibt offen für ihn warten auf Daten, Besetzung unnötige Ressourcen, bis das Timeout.Wenn Ihr Webserver nicht als Proxy dienen soll, einfach verbieten die CONNECT-Methode und das ist alles.PengouinPdt21 Feb. (..) Wenn Ihr Webserver nicht

Ergebnisse (Deutsch) 2:

Hallo,

ich bin auf der Suche nach Informationen-über das Spiel '--string ...
In der Tat, frage ich mich , mir zu dienen richtig dieses Spiel alle Anfragen zu filtern , die "CONNECT * .mxmail.netease .com: 25 "
habe ich eine Grundregel zu berücksichtigen nur" CONNECT ", aber was ich will unbedingt zu wissen, ob es möglich ist , reguläre Ausdrücke verwenden, wie zum Beispiel *, etc ...

iptables -A INPUT -p tcp -m String --to 70 --algo bm --string "CONNECT" j DROP

Voili, voilou ...

netfilter.org/documentation/ ... tml # SS3. 181

Tatsächlich fürchte ich es so eine gute Idee ist? richtig ?!

erstellt
Februar 21.
Letzte Antwort
21. Februar
4
Antworten
40
Ansichten
2
Benutzer
1
Link
3

PascalHambourg
Februar 21.

Nach der iptables - man - Seite, glaube ich nicht , dass die Zeichenfolge Unterstützung passende . reguläre Ausdrücke oder Platzhalter
? was ist der Zweck dieser Filterung ist
PengouinPdt
Februar 21.

Wie ich in meinem ersten Beitrag schrieb, Pascal, filtern jede Abfrage mit dieser Art: "CONNECT * .mxmail.netease.com: 25 . es

handelt sich um Abfragen , die den Web - Server mod_proxy zu verwenden versuchen.
Draußen , wenn ich verstehe es nicht für nginx nicht vorhanden ist , ist es nicht?

Wie dem auch sei, antwortete mit Fehler 400 -. schlechte Anfrage

die Grundidee ist , zu filtern , bevor es auf dem Web - Server ankommt, nicht mehr und nicht weniger.
Aber dann wieder, es könnte eine gute Idee sein?

wie die nginx Bett im Zugriffsprotokoll:

grep "CONNECT" /var/log/nginx/access.log
141 212 122 130 - - [28 / Juli / 2015: 13: 04: 29 0200] "proxytest.zmap CONNECT. io: 80 HTTP / 1.1 "400 166" - "" - "
111.248.63.239 - - [28 / Juli / 2015: 18: 18: 25 0200]" 163mx00.mxmail.netease.com:25 CONNECT HTTP / 1.0 " 400 166 "-" "-"
141 212 122 147 - - [29 / Juli / 2015: 17: 01: 50 0200] "proxytest.zmap.io:80 CONNECT HTTP / 1.1" 400 166 "-" "-"
36229 .232.210 - - [30 / Juli / 2015: 11: 19: 20 0200] "163mx00.mxmail.netease.com:25 CONNECT HTTP / 1.0" 400 166 "-" "-"
111.248.98.176 - - [30 / Juli / 2015: 13: 40: 46 0200] "vip163mx00.mxmail.netease.com:25 CONNECT HTTP / 1.0" 400 166 "-" "-"
61.228.94.37 - - [31 / Juli / 2015: 13: 58 : 16 0200] "vip163mx00.mxmail.netease.com:25 CONNECT HTTP / 1.0" 400 166 "-" "-"
111 248 117 129 - - [31 / Juli / 2015: 18: 14: 01 0200] "CONNECT vip163mx00.mxmail.netease.com:25 HTTP / 1.0 "400 166" - "" - "

Dann sage ich mir , dass dies ein falsches Problem ist, weil ich merke , - hier, jetzt - die verbinden versucht / Umleitungen haben alle der Wert von $ HTTP_USER_AGENT leer, und ich schrieb im Rahmen einer Regel "http" nginx sie zu blockieren , wenn sie leer - aber ich bin immer noch auf der nginx Softwareschicht, nicht ? Netzwerk, ist es nicht
PascalHambourg
Februar 21.

Wie ich in meinem ersten Beitrag schrieb, Pascal, filtern jede Abfrage mit diesem Stil. "CONNECT * .mxmail.netease.com 25

ich verstand avai . Meine Frage war im Wesentlichen wissen, warum, warum? Sie werden im Folgenden beantworten. Es

handelt sich um Abfragen, die die Mod_proxy Webserver. Zu verwenden , versuchen
nun, wenn ich verstehe es nicht für nginx nicht vorhanden ist , nicht wahr?

Ich weiß, weiß ich nicht , nginx. Es scheint , als Proxy fungieren. Wenn es in Forward - Proxy arbeiten kann, unterstützt die CONNECT - Methode.

Die Idee zu filtern, bevor es auf dem Web - Server ankommt, nicht mehr und nicht weniger.
Aber dann wieder, kann es sein , falsche gute Idee?

ich denke , es ist so eine gute Idee. Dies ist ein Filter der Anwendungsschicht (Schicht 7 des OSI - Modells) , die auf der Anwendungsebene erreicht werden soll, kein Paketfilter. Es gibt mehrere technische Herausforderungen dieser Art von Filtern mit einem Paketfilter wie iptables zu erreichen, zum Beispiel:
- Wenn das Suchmuster Spagat zwischen zwei aufeinanderfolgenden Paketen, Korrespondenz , die sich lediglich auf einzelne Pakete wird nicht funktionieren.
- das Ziel ist , nur die Methode der HTTP - Anforderung zu filtern. Oder Korrespondenz gilt auch , wenn das Muster an anderer Stelle in der Kommunikation zu finden ist, wie es immer der Fall , wenn Sie diese Nachricht geschrieben hat, ein falsch positives zu schaffen. Es ist nicht trivial iptables zu sagen , nur in der dritten Paket der Verbindung durch den Client gesendet zu suchen (und es ist nicht einmal genug , wenn die Keep-Alive aktiviert ist, wird eine neue Anwendung , die n sein kann " überall in der Strömung der Verbindung).
- das Ergebnis wird sein , dass das Paket das Muster enthält , blockiert. Der Kunde kann benachrichtigt werden , wenn die Regel verwendet anstelle von Drop - Ziel REJECT, aber der Server möchten Sie zu schützen , nichts für ihn wissen , und die Verbindung wird offen bleiben, auf Daten wartet, unnötig zu besetzen Ressourcen Time-out.

Wenn Ihr Web - Server nicht soll Proxy dienen, verbieten einfach die CONNECT - Methode und das ist es.
PengouinPdt
Februar 21

(..)
Wenn Ihr Web - Server tut

Ergebnisse (Deutsch) 3:

Hallo,Ich bin auf der suche nach Informationen über das Spiel - - string.In der TAT, Ich habe gefragt, was Ich mit der richtigen Spiel Jede forderung "im Filter enthalten. * mxmail.netease.com:25"Ich habe eine Grundlegende regeln berücksichtigt nur die "Verbindung", aber ich Will Wissen, ob kann MIT regulären ausdrücken, Z. B. *,, und so weiter...Iptables - input - P TCP - M - String - to - 70 - algorithmus "Connect" - Ich Tropfen StringVoili, voilou...Netfilter.org / file /...# ss3.181 VMLIn der TAT, ich fürchte, das ist eine falsche Gute idee?Nicht Wahr?!!!!!!!Schaffen2 am 21.Letzte antwort2 am 21.4Die antwort40View2Der Benutzer1Link3Pascalhambourg2 am 21.In S. Handbuch MIT iptables, ich glaube nicht, dass die unterstützung für reguläre ausdrücke, Oder wildcard - string.Was ist das ziel dieser Filter?Pengouinpdt2 am 21.Wenn Ich schreibe in meinen ersten filtern, Pascal, keine abfrage: "Mit dieser Stil MIT * * * *. Mxmail.netease.com:25.Das ist Agent - mod _ versucht, mit der WEB - server.Nein, wenn Ich DAS richtig verstanden habe, das gibt es nicht, nginx, nicht Wahr?!!!!!!!Wie auch Immer, falsche antwort 400 falsche behauptung.Die Grundlegende idee IST ES, Filter, bevor dies auftritt auf dem WEB - server, nicht mehr und nicht weniger.Aber es ist eine schlechte idee!???????Unser Bett in nginx: besuch anmeldenGREP "Verbindung" / var / log / / access.log nginx141.212.122.130 - [28 / Juli / 2015: 13:04:29 + 0200] "verbunden proxytest.zmap.io:80 http / 1.1" 400 166 "" "" "" "" "" "" ""111.248.63.239 - [28 / Jul 18 18 / 2015:::::::: 25 0200] "verbunden 163mx00.mxmail.netease.com:25 http: / / 1 400 166" "" "" "" "" "" "" "" "141.212.122.147 - [29 / Juli / 2015: 17:01:50 + 200) "verbunden proxytest.zmap.io:80 http / 1.1" 400 166 "" "" "" "" "" "" ""Juli: [36.229.232.210 30 / / 2015: "im 11:19:20 + 0216) 163mx00.mxmail.netease.com:25 http: / / 1 400 166" "" "" "" "" "" "" "" "Juli: [111.248.98.176 30 / / 2015: 13:40:46 + 0200] "verbunden vip163mx00.mxmail.netease.com:25 http: / / 1 400 166" "" "" "" "" "" "" "" "61.228.94.37 - [31 / Jul / 2015: MIT 13:58:16 + 0216) "vip163mx00.mxmail.netease.com:25 http: / / 1 400 166" "" "" "" "" "" "" "111.248.117.129 - [31 / Jul / 2015: 18:14:01 + 0200] "verbunden vip163mx00.mxmail.netease.com:25 http: / / 1 400 166" "" "" "" "" "" "" "" "Dann habe Ich gesagt, das ist eine falsche Frage, Weil Ich weiß, dass jetzt Verbindung versucht / weiter Wert Sind _ $http User Agent _ leeren, schrieb Ich "http" - regel nginx - Schloss, wenn sie Leer IST, aber ich War Immer in nginx - software), und nicht über das Internet. Ja?!!!!!!!Pascalhambourg2 am 21.Wenn Ich schreibe in meinen ersten filtern, Pascal, keine abfrage: "Mit dieser Stil MIT * * * *. Mxmail.netease.com:25.Ich verfügbar.Meine Frage IST: Warum in der substanz - Was ist das ziel?In ihrer antwort auf später.Das ist Agent - mod _ versucht, mit der WEB - server.Aber wenn Ich DAS richtig verstanden habe, das gibt es nicht, nginx, nicht Wahr?!!!!!!!Ich weiß nicht, ich weiß nicht, nginx.ES scheint, als proxy.Er kann die Agentur, die es unterstützt - Verbindung.Die Grundlegende idee IST ES, Filter, bevor dies auftritt auf dem WEB - server, nicht mehr und nicht weniger.Aber es ist eine schlechte idee!???????Ich denke, das ist eine falsche idee. Das ist ein Application layer filterung (7 schichten des OSI - Modell) erreichen sollte, angewandt werden, nicht ein packet Filter.Einige Technische schwierigkeiten, die dieser Art von Filter - paketfilter - firewall, zum beispiel:Wenn die gewünschte Muster IST pferd zwischen zwei aufeinanderfolgenden Paket abgestimmt, die Sich nur MIT Einem einzigen Paket wird nicht funktionieren.Ziel der methode IST eine http - anfrage.Ob mit der Gold - auch in der Kommunikation, das ist Sicher der Fall, wenn sie schreiben, diese e - mail - schafft ein fehlalarm.Er ist nicht Trivial gesagt, im dritten MIT iptables - Paket sendet der client (DAS noch nicht genug, wenn offen bleiben, eine neue abfrage kann überall der prozess der registrierung).Das ergebnis wird auch die Paket - Sperre.Kunden können MIT DEM ziel, warnt, wenn regeln nicht verringert, aber soll der Schutz der server nicht weiß, und er verbunden IST, bleibt offen, warten auf Daten, die Ressourcen unnötig Zeit.Wenn sie den WEB - server sollten nicht ALS bevollmächtigte, verbietet Nur verbunden, das ist so.Pengouinpdt2 am 21.(...)Wenn ihr server nicht