Re: port的問題

※ 引述《[e-mail] (This is My Goodbye)》之銘言：
: 如果我在一個區域網路的domain裡面
: 網管把msn的port擋掉了
: 請問我有任何方法可以躲掉這個
: 然後連上msn嗎??
: 謝謝^^

把MSN的Proxy Server設起來。
--
※ Origin: 臺大電機 Maxwell 站 ◆ From: 61-221-104-181.HINET-IP.hinet.net

> -------------------------------------------------------------------------- <

發信人: [e-mail] (就愛八寶粥), 看板: NetSecurity
標  題: Re: port的問題
發信站: KKCITY (Sat Jul 24 07:51:24 2004)
轉信站: ptt!ctu-reader!ctu-peer!Spring!news.nctu!news.ntu!bbs.ee.ntu!news.kkci

※ 引述《[e-mail] (路西瓜楊)》之銘言：
> ※ 引述《[e-mail] (MCP)》之銘言：
> :   其實當然是有辦法可以躲的ㄚ
> :   不過...大家在想辦法鑽漏洞時...
> :   都不知道網管其實是有辦法透過監聽封包，
> :   得知你們聊天的內容耶....
> :   大家怎麼一點警覺性都沒有...
> :   唉......
> 不是網管太厲害，而是你太遜。
  ↑換句話說…你比網管強囉… :D
  網管有辦法透過某些方式監聽…我倒是聽說過…
  但我不知道繞道還被網管抓到是遜在哪？？
  PORT也不就是開放的那幾個？？
  突然增加一個開放或是要求對外連線的PORT…
  不是讓人很可疑…是我的話我也想去了解為何會開了一個PORT…
  那如果是用PROXY方式上線…
  在區網內哪天網管心情好…想看看PROXY傳的資料內容或是看一下狀態…
  還是有辦法可以知道的啊…
  再說…既然都被迫要選擇繞道了…
  想必也是一定要經過ROUTER才有辦法對外吧…
  如果長期監視對外的連線…要發現好像也是不太難的感覺…
--
┌─────◆ＫＫＣＩＴＹ◆─────┐★☆ 數十萬首歌曲，22種音樂分類 ☆★
│         bbs.kkcity.com.tw          │□□ 與各大唱片行同步的音樂收藏 □□
└──《From:218.162.217.245    》──┘快來~KKBOX →http://www.kkbox.com.tw

> -------------------------------------------------------------------------- <

發信人: [e-mail] (null), 看板: NetSecurity
標  題: Re: port的問題
發信站: 交大資科_BBS (Sat Jul 24 15:54:09 2004)
轉信站: ptt!ctu-reader!ctu-peer!news.nctu!news.cis.nctu!cis_nctu

這些文章回得蠻奇怪的,
都是在說些誰強誰遜,更奇怪的是說要繞router...

回到正文,原作者要問的是有沒有辦法規避fw的限制連線rule
答案是有的.
我們稱之為tunnel軟體.
其中最有名的是SoftEther.這是由日本筑波大學一位學生開發出來的.
http://www.softether.com/jp/
最主要的功用就是把Frame用SSL把要傳輸的Frame加密,封在一個TCP連線中.
你必須要在Internet上有一台可以連到你想要取得服務的電腦
(在家裡用ADSL接就行了),這一台稱做虛擬Hub.
另外在你公司(通常都是公司有FW吧)電腦上,透過可以通透的port連到虛擬Hub,
再由虛擬Hub向server取得資料.

由於這類的tunnel軟體可以使用任意的port,所以一定可以從FW內部連線至虛擬Hub,
(總不可能所以對外port都關,那網路不用架了)
而且由內部到外部可以走HTTP proxy或SSH Tunnel,並且內容是被加過密,
網管人員也幾乎無從得知這是原本正確的連線呢,還是tunnel的連線.

目前此類的tunnel軟體多有支援SOCKS,所以ICQ,MSN,FTP等都可以穿透FW使用.

這類的軟體有相當多,
另外免費的有HTTPort(http://www.htthost.com)
還有HTTPtunnel(FreeBSD的port tree就有了)

--
請多利用google
--
 * Post by CatSky from 61-71-74-88.adsl.static.giga.net.tw 
 * Origin: ★ 交通大學資訊科學系 BBS ★ <bbs.cis.nctu.edu.tw: 140.113.23.3>

> -------------------------------------------------------------------------- <

發信人: [e-mail] (), 看板: NetSecurity
標  題: Re: port的問題
發信站: KKCITY (Sat Jul 24 16:29:53 2004)
轉信站: ptt!ctu-reader!ctu-peer!news.nctu!netnews.csie.nctu!news.ee.ttu!news.n

※ 引述《[e-mail] (null)》之銘言：
> 另外在你公司(通常都是公司有FW吧)電腦上,透過可以通透的port連到虛擬Hub,
> 再由虛擬Hub向server取得資料.
> 由於這類的tunnel軟體可以使用任意的port,所以一定可以從FW內部連線至虛擬Hub,
> (總不可能所以對外port都關,那網路不用架了)
> 而且由內部到外部可以走HTTP proxy或SSH Tunnel,並且內容是被加過密,
> 網管人員也幾乎無從得知這是原本正確的連線呢,還是tunnel的連線.
> 目前此類的tunnel軟體多有支援SOCKS,所以ICQ,MSN,FTP等都可以穿透FW使用.
> 這類的軟體有相當多,
> 另外免費的有HTTPort(http://www.htthost.com)
> 還有HTTPtunnel(FreeBSD的port tree就有了)
想的美..這種只能過nat..過不了應用層級的proxy....
一般user 的能力...用什麼我們都看的到..用了msn
馬上就會知..
--
┌─────◆ＫＫＣＩＴＹ◆─────┐※※※  史上最讚   功能超強  ※※※
│         bbs.kkcity.com.tw          │◎萬人線上音樂季 等待您一起來體驗◎
└──《From:61.59.163.140      》──┘立刻來KKBOX http://www.kkbox.com.tw

> -------------------------------------------------------------------------- <

發信人: [e-mail] (null), 看板: NetSecurity
標  題: Re: port的問題
發信站: 交大資科_BBS (Sun Jul 25 05:24:47 2004)
轉信站: ptt!ctu-reader!ctu-peer!news.nctu!news.cis.nctu!cis_nctu

==> 在 [e-mail] () 的文章中提到:
> 想的美..這種只能過nat..過不了應用層級的proxy....
> 一般user 的能力...用什麼我們都看的到..用了msn
> 馬上就會知..

是想得很美沒錯 :)
如果人不能想得美,又怎麼能有這麼多創意發揮出來?

我想,您的意思是這軟體只能通過packet filter的FW,
而不能經過application的FW,是嗎?:)

因為,NAT與proxy都 "不是" firewall,只是常用來與firewall的規畫搭配.
其中分別與定義,請查閱相關的RFC

通常這類的tunnel都支援proxy server,可以利用HTTP proxy.
也就是,它將OSI第2層的frame裝在一個TCP的packet,再加上SSL加密,
如果它走的是port 443,
即使網管人員找到了這個連線,也無從得知到底是真的http的request還是非法tunnel.

softether開發者很好心,在協定裡加了softether protocal的字樣,
所以市面上有些網管軟體號稱可以管制,
不過在source code開放的情況下,是不是能有效管制住,真的很難說.

這類的軟體衝擊影響層面很大,當你家裡與公司的電腦分別都連上一個虛擬Hub,
你在家裡可以無視防火牆到公司的電腦抓取資料.
你也可以將公司與家裡電腦視為在同一網域下,
公司電腦利用家裡電腦NAT或ICS另闢路徑.
對公司來說,可進也可以出,對資訊安全防護實在是一大挑戰.

話說回來,firewall到底是防外人用的,對於內賊實在是不堪一擊.

回原作者:如果公司還是不能用MSN的話,有人用java寫出利用http來傳送,
我剛就找到了一個
http://www.dpgphoto.com:8080/totomomo/
請以你的MSN帳號密碼登入.

不過是以明碼傳輸,談話的內容隱密性不保險.
--
 * Post by CatSky from 203.64.78.198 
 * Origin: ★ 交通大學資訊科學系 BBS ★ <bbs.cis.nctu.edu.tw: 140.113.23.3>

> -------------------------------------------------------------------------- <

發信人: [e-mail] (路西瓜楊), 看板: NetSecurity
標  題: Re: port的問題
發信站: 台大電機 Maxwell BBS (Sun Jul 25 09:10:45 2004)
轉信站: ptt!ctu-reader!ctu-peer!news.nctu!netnews.csie.nctu!news.ee.ttu!news.n

※ 引述《[e-mail] ()》之銘言：
: ※ 引述《[e-mail] (null)》之銘言：
: > 另外在你公司(通常都是公司有FW吧)電腦上,透過可以通透的port連到虛擬Hub,
: > 再由虛擬Hub向server取得資料.
: > 由於這類的tunnel軟體可以使用任意的port,所以一定可以從FW內部連線至虛擬Hub,
: > (總不可能所以對外port都關,那網路不用架了)
: > 而且由內部到外部可以走HTTP proxy或SSH Tunnel,並且內容是被加過密,
: > 網管人員也幾乎無從得知這是原本正確的連線呢,還是tunnel的連線.
: > 目前此類的tunnel軟體多有支援SOCKS,所以ICQ,MSN,FTP等都可以穿透FW使用.
: > 這類的軟體有相當多,
: > 另外免費的有HTTPort(http://www.htthost.com)
: > 還有HTTPtunnel(FreeBSD的port tree就有了)
: 想的美..這種只能過nat..過不了應用層級的proxy....
: 一般user 的能力...用什麼我們都看的到..用了msn
: 馬上就會知..

建議研究以下上面網友說的SoftEther，和HTTPort、HTTPProxy，
甚至user自己架SSL Proxy
MSN本來就有加密方式，而且可以再包一層SSL出去。

更甚者，即使公司可以狠一點，全部擋掉SSL的活動，
或者在Proxy上不怕辛苦地解開SSL再轉送。

還是有終極手段可破，
最簡單的，在自己位置上拉條電話線，
或者在隔壁加個AP走無線自己內神通外鬼。(這些都是發生過的事)

加油吧，網管。
--
※ Origin: 臺大電機 Maxwell 站 ◆ From: 61-221-104-181.HINET-IP.hinet.net

> -------------------------------------------------------------------------- <

發信人: [e-mail] (路西瓜楊), 看板: NetSecurity
標  題: Re: port的問題
發信站: 台大電機 Maxwell BBS (Sun Jul 25 09:17:24 2004)
轉信站: ptt!ctu-reader!ctu-peer!Spring!news.nctu!news.ntu!bbs.ee.ntu!Maxwell

※ 引述《[e-mail] (null)》之銘言：
: softether開發者很好心,在協定裡加了softether protocal的字樣,
: 所以市面上有些網管軟體號稱可以管制,
: 不過在source code開放的情況下,是不是能有效管制住,真的很難說.


沒錯，網管們最擔心的就是SoftEther改進版，
據聞大陸已經有人在搞。

雖然亞洲這邊有安全廠商號稱可以以IDP擋住SoftEther或掃出內部的虛擬Hub或網卡
不過前者好像只是號稱，後者是用SoftEther最預設的設定埠號去掃。
隨便就可以規避。
歐美安全廠商則是不知不覺。

不過就現在而言，光原始版 SoftEther就讓多少網管束手無策了。

: 我剛就找到了一個
: http://www.dpgphoto.com:8080/totomomo/
: 請以你的MSN帳號密碼登入.
: 不過是以明碼傳輸,談話的內容隱密性不保險.

加SSL上去就好啦。
--
※ Origin: 臺大電機 Maxwell 站 ◆ From: 61-221-104-181.HINET-IP.hinet.net

> -------------------------------------------------------------------------- <

發信人: [e-mail] (走路有風), 看板: NetSecurity
標  題: Re: port的問題
發信站: 交大資工鳳凰城資訊站 (Sun Aug  1 14:05:51 2004)
轉信站: ptt!ctu-reader!ctu-peer!news.nctu!netnews.csie.nctu!bbs

※ 引述《[e-mail] (MCP)》之銘言：
> ※ 引述《[e-mail] (This is My Goodbye)》之銘言：
> > 如果我在一個區域網路的domain裡面
> > 網管把msn的port擋掉了
> > 請問我有任何方法可以躲掉這個
> > 然後連上msn嗎??
> > 謝謝^^
>   如果你辦到了....
>   你們家的網管就可以去死一死了.....
很難講啦...XD
照理說啦, 現今一個網路應用軟體的設計, 還要多設計一個針對
UDP 所行經的 Port, 也許網管沒有擋掉 UDP 的也說不定...

也許我想太多?  :D~
--
※ Origin: 交大資工鳳凰城資訊站 <bbs.csie.nctu.edu.tw> 
◆ From: 218-184-45-69.cm.dynamic.apol.com.tw