云顶天的世界 云顶天的世界
  • 首页
  • 生活/杂谈
  • 摄影/游记
  • 折腾/玩物
  • 评论/观点
  • 运动/撸铁
  • 工作/笔记
  • 云顶天的朋友
  • 注册
  • 登录
首页 › 工作/笔记 › 发现一个IPSECVPN改源IP无认证的漏洞

发现一个IPSECVPN改源IP无认证的漏洞

云顶天
3年前工作/笔记阅读 1,698

机房计算节点登录服务器发现大量来自企业VPN隧道内的攻击,看IP地址段是来自IPSECVPN的。怀疑又是哪个用户的终端机中毒了,结果拿着IP到VPN服务器上去查询XAUTH认证,居然没有和这个IP对应的账号登录信息!但是防火墙会话表中又确实能看到这个IP和服务器的会话记录,源安全域也是来自VPNHUB,并非内网其它机器伪造源IP,这就很奇怪了。冥思苦想也只能往伪造IP地址上去靠,但是VPN客户端需要认证才能分配到IP,理论上是没法伪造IP和绕过认证记录的,这个VPN隧道内的虚拟IP到底是怎么获取到的搞得我很头疼。

从攻击的目的IP来看,都是同一个用户租用的独立服务器,根据这个用户之前出过的一系列问题,基本上还是锁定问题出在这个用户的终端上。与用户系统工程师沟通,果然发现对方的服务器配置有问题。

这个用户其实相当于我们的一个代理商,他们终端通过vpnc客户端登录IPSECVPN访问我们数据中心的资源。

然后又在这台服务器上做了dnat,将VPN隧道内的资源以公网IP+端口的形式给他的子用户访问,同时通过snat转换成VPN隧道的虚拟IP地址来访问资源。问题就出在转snat这一步,代理商以为每次登陆IPSECVPN分配到虚拟IP不变,所以在snat中使用了静态的ip地址,而IPSECVPN隧道的生存时间最高为24小时,也就是其实每天都在重新连接重新分配虚拟ip。但是因为snat配置静态ip地址,实际转发过来的源地址又与分配的虚拟ip不同,所以导致在VPN服务器这边看到的XUATH认证记录与实际会话的源ip没有关联。

也就是VPN服务器网关往客户端虚拟IP转发的时候并没有去关联XUATH认证分配的IP地址,这么狗血的bug还真是头一回碰到,现在也无法确认是ipsecvpn本身没考虑这个问题,又或者是VPN服务器厂商的锅?

幸运的是,这次产生的攻击并非真实攻击者,代理商的服务器是租用在阿里云的,同时也启用了阿里云盾的漏扫和弱口令检测,通过VPN隧道跑进来的这些扫描和攻击都是来自阿里云盾的检测。

总之已经将bug反馈给厂商了,等待他们先搭建实验环境复现这种情况吧~至于是否能修复,按厂商一贯表现,估计又是一次漫长的等待。还好在防火墙上对snat后的源ip做安全策略能起到阻断攻击的效果,在防火墙阻断假ip的时候客户端那边也会出现访问受限的现象,如果是客户端的无心之举倒也能通过这种方式排查。如果是心怀不轨利用这个漏洞攻击,那就很恶心了,无法确认ip和用户账号的关联,根本找不到事主。

后记补充:我傻了,突然才反应过来,原来可以在安全策略中配置源ip的账户匹配~进入隧道的流量经过VPN的封装后,抵达防火墙,防火墙对流量解封装,得到明文流量。VPN仅仅只是对数据包加解封装,然后流量的筛选和转发依然是由policy和route来做,明文中是包含用户信息的~~~

问题顺利解决,撒花完结~~

bug ipsecvpn
赞(1)
不用我动手了
上一篇
#成长记录#写在玥玥两周岁
下一篇
最新文章
  • 用vlog记录生活,露脸的那种~刺激吧! 2022年7月6日
  • 坦克300提车一个月,各方面感觉良好,就是不能出去玩 2022年4月25日
  • 这次没有空军了,收获巨大! 2022年4月15日
  • 啊!空军了!找点客观原因 2022年4月9日
  • 祖传鱼竿整备了一下,先钓个胖头鱼 2022年4月6日
标签
linux NAS vlog 健身 减肥 华为 博客 大学 女儿 妈妈 婴儿 孩子 宝宝 宠物 工作 戒烟 房子 手机 折腾 摄影 故障 旅游 旅行 日记 楚玥 模型 汽车 游戏 爸爸 狗 生活 电影 童年 网站 网络 网络测试 群晖 装修 观点 视频 评测 评论 运动 追追 镜头
股票笔记1,实操半年总结
云顶天
2,200 1
dedecms 5.7sp2在搜索结果页调用自定义字段的方法
云顶天
3,354 0
远程传输故障排查案例1
云顶天
2,062 0
被笔记本罕见故障折腾了好几天
云顶天
2,811 0
1
  • 1
关于云顶天

草木一生,人生一世,总得给留下点什么。博客似乎是个不错的载体,就在这里开始吧!

分类
首页 生活/杂谈 摄影/游记 折腾/玩物 评论/观点 运动/撸铁 工作/笔记 云顶天的朋友
串门
boke112导航 胡言胡语 俍注 读来依然摄影博客 nicetheme 千淘万漉 龙行博客 猫鱼
Copyright © 2018-2023 云顶天的世界. Designed by nicetheme.
  • 首页
  • 生活/杂谈
  • 摄影/游记
  • 折腾/玩物
  • 评论/观点
  • 运动/撸铁
  • 工作/笔记
  • 云顶天的朋友
# 摄影 # # 生活 # # 日记 # # 女儿 # # 健身 #
云顶天
213
文章
140
评论
50
喜欢