云顶天的世界 云顶天的世界
  • 注册
  • 登录
  • 首页
  • 生活/杂谈
  • 摄影/游记
  • 折腾/玩物
  • 评论/观点
  • 运动/撸铁
  • 工作/笔记
首页 › 工作/笔记 › 发现一个IPSECVPN改源IP无认证的漏洞

发现一个IPSECVPN改源IP无认证的漏洞

云顶天
10月前工作/笔记
495 0 0

机房计算节点登录服务器发现大量来自企业VPN隧道内的攻击,看IP地址段是来自IPSECVPN的。怀疑又是哪个用户的终端机中毒了,结果拿着IP到VPN服务器上去查询XAUTH认证,居然没有和这个IP对应的账号登录信息!但是防火墙会话表中又确实能看到这个IP和服务器的会话记录,源安全域也是来自VPNHUB,并非内网其它机器伪造源IP,这就很奇怪了。冥思苦想也只能往伪造IP地址上去靠,但是VPN客户端需要认证才能分配到IP,理论上是没法伪造IP和绕过认证记录的,这个VPN隧道内的虚拟IP到底是怎么获取到的搞得我很头疼。

从攻击的目的IP来看,都是同一个用户租用的独立服务器,根据这个用户之前出过的一系列问题,基本上还是锁定问题出在这个用户的终端上。与用户系统工程师沟通,果然发现对方的服务器配置有问题。

这个用户其实相当于我们的一个代理商,他们终端通过vpnc客户端登录IPSECVPN访问我们数据中心的资源。

然后又在这台服务器上做了dnat,将VPN隧道内的资源以公网IP+端口的形式给他的子用户访问,同时通过snat转换成VPN隧道的虚拟IP地址来访问资源。问题就出在转snat这一步,代理商以为每次登陆IPSECVPN分配到虚拟IP不变,所以在snat中使用了静态的ip地址,而IPSECVPN隧道的生存时间最高为24小时,也就是其实每天都在重新连接重新分配虚拟ip。但是因为snat配置静态ip地址,实际转发过来的源地址又与分配的虚拟ip不同,所以导致在VPN服务器这边看到的XUATH认证记录与实际会话的源ip没有关联。

也就是VPN服务器网关往客户端虚拟IP转发的时候并没有去关联XUATH认证分配的IP地址,这么狗血的bug还真是头一回碰到,现在也无法确认是ipsecvpn本身没考虑这个问题,又或者是VPN服务器厂商的锅?

幸运的是,这次产生的攻击并非真实攻击者,代理商的服务器是租用在阿里云的,同时也启用了阿里云盾的漏扫和弱口令检测,通过VPN隧道跑进来的这些扫描和攻击都是来自阿里云盾的检测。

总之已经将bug反馈给厂商了,等待他们先搭建实验环境复现这种情况吧~至于是否能修复,按厂商一贯表现,估计又是一次漫长的等待。还好在防火墙上对snat后的源ip做安全策略能起到阻断攻击的效果,在防火墙阻断假ip的时候客户端那边也会出现访问受限的现象,如果是客户端的无心之举倒也能通过这种方式排查。如果是心怀不轨利用这个漏洞攻击,那就很恶心了,无法确认ip和用户账号的关联,根本找不到事主。

后记补充:我傻了,突然才反应过来,原来可以在安全策略中配置源ip的账户匹配~进入隧道的流量经过VPN的封装后,抵达防火墙,防火墙对流量解封装,得到明文流量。VPN仅仅只是对数据包加解封装,然后流量的筛选和转发依然是由policy和route来做,明文中是包含用户信息的~~~

问题顺利解决,撒花完结~~

bug ipsecvpn
0
本文系作者 @云顶天 原创发布在 云顶天的世界。未经许可,禁止转载。
不用我动手了
上一篇
#成长记录#写在玥玥两周岁
下一篇
评论 (0)
再想想
最新文章
  • 摄影注意事项1 2021年2月14日
  • 想不通为什么要买特斯拉modelY 2021年1月28日
  • 生活开启新章节 2021年1月15日
  • 小时候读书似乎挺轻松的啊 2020年11月3日
  • Elune的夏天-给女儿做的第一只vlog 2020年9月1日
标签
linux NAS 健身 减肥 华为 博客 大学 女儿 妈妈 婴儿 孩子 宝宝 宠物 富士 工作 戒烟 房子 手机 折腾 摄影 摄曝 旅游 旅行 日记 楚玥 模型 汽车 游戏 爸爸 狗 生活 电影 童年 网站 网络 网络测试 群晖 装修 观点 视频 评测 评论 运动 追追 镜头
相关文章
浅析VPN隧道内访问远程服务器使用ls -l无法返回列表结果的问题
小破站被攻击了,顺便整了一下服务器的安全问题
windows系统cmd中给ping加上时间戳
华硕无线路由器RT-AC86U配置有线桥接
关于云顶天

草木一生,人生一世,总得给留下点什么。博客似乎是个不错的载体,就在这里开始吧!

分类
首页 生活/杂谈 摄影/游记 折腾/玩物 评论/观点 运动/撸铁 工作/笔记
串门
boke112导航 青山绿水 俍注 读来依然摄影博客 nicetheme 千淘万漉 龙行博客
Copyright © 2018-2021 云顶天的世界. Designed by nicetheme.
  • 首页
  • 生活/杂谈
  • 摄影/游记
  • 折腾/玩物
  • 评论/观点
  • 运动/撸铁
  • 工作/笔记
热门搜索
  • 摄影
  • 生活
  • 日记
  • 女儿
  • 健身
  • 博客
  • 孩子
  • 宝宝
  • 狗
  • 旅行
  • 网络
  • 楚玥
  • 运动
  • 宠物
  • 折腾
  • 工作
  • 装修
  • 追追
云顶天
191 文章
51 评论
4 喜欢
  • 0
  • 0
  • Top