(TCP/IP Internal) Auf der Suche nach Mr. Spock

[Christian Kruse]

Hoi,

Aber der Router sollte doch nur was weiterleiten, wenn er
auf irgendwas wartet, oder? Oder sendet er alles was auf
einen bestimmten Port geht an den Client, der als letzter
diesen Port benutzt hat?

Nein, er muss schon auf Pakete einer Verbindung warten.

Aber was hat man davon dem Windows Rechner irgendein
sinnloses Paket zu schicken?

Nun, man kann uU so Exploits ausnutzen und Aktionen auf dem
PC hervorrufen. Ueber das Filesharing-Protokoll z. B.

Woher weiß man was der damit macht und das er überhaupt
was damit macht?

Gar nicht.

Wartet er nicht auf vorher bestimmten Ports auf eine
Antwort auf ein Request, udsn wenn die da ist ist der Port
wieder zu?

Ja. Aber selbst auf Windows-Kisten kann man Server-Prozesse
implementieren, die dauerhaft auf einem Port lauschen.

Udn seklbst wenn er eine falsache Antwort bekommt, was
könnte das für Konsequerenzen haben?

Gar nix im guenstigensten Fall, Bluescreens und/oder
Fremdzugriffe im unguenstigsten Fall.

Nur das man böse activeX oder Javascripte ausführt?

Das hat mit TCP/IP nix zu tun :)

Oder könnte mein Win-PC vor größere Probleme gestellt
werden?

Wie gesagt, die fehlerhafte Implementation von TCP/IP in
einigen Win-Versionen kann Probleme machen. "Exploit" sei
mal als Stichwort genannt.

Ahja, das ist ein weiteres Problem. Wenn du bei diesen
Injection-Attacken (unabhängig davon, ob Masquerading
dazwischen ist oder nicht) nicht vorsichtig bist,
fängst du dir unter Umständen eklige Probleme ein, wie
einen ACK-Sturm.

Was heißt das?

Das ganz viele Pakete mit dem ACK-Flag geschickt werden.

Das Du viele Pakete an den Rechner schickst und der
jedesmal ein Ack sendet?

Das oder umgekehrt :)

Aber das kann doch nicht schlimmer sein als das was D mit
Deinen Paketen anrichtest, oder?

D?
Es belastet den Rechner. Ein NAT-Daemon muesste bei jedem
ACK-Paket einen Lookup in seinen Tabellen machen.

Kann man nicht eine falsche "absenderIP" angeben und so
die "Stürme" einem anderen Server zukommen lassen? ;-)

Ja. Diese Technik nennt sich 'IP-Spoofing'.

Aber dazu müßte man ja den TCP Header manipulieren, kann
das auch PERL, oder geht sowas nur mit C?

Das geht gar nicht so ohne weiteres. Dazu muss man das
richtige Betriebssystem haben: es muss 'Raw Sockets'
unterstuetzen. Da gibt es auch ein Perl-Modul:

http://search.cpan.org/search?dist=Net-RawIP

Gruesse,
 CK