March 2003 - zorp-hu - lists.balabit.hu

http és a 220
by Czakó Krisztián 30 Mar '03

30 Mar '03

Hello, Amint azt már egyszer írtam, meggyűlt a bajom egy idióta webszerverrel, mely http/1.0 kérésre http/1.0 válaszban 220 reset contect választ ad ráadásul html lapot is küld egyben. A Zorp ezt jogosan megállítja (http/1.0 nem ismer 220-at, 1.1-ben 220 nem tartalmazhat adatot). A kérdés az lenne, hogyan lehetne a Zorp forrás átírása nélkül egy konkrét címről beengedni egy ilyen elvetemült választ (módosítva a kliens felé 200-ra a response kódot)? Slapic -- Pilatus-Comp Ltd. HUNGARY * The Linux Expert * pilatuscomp(a)linux.co.hu http://www.linux.co.hu * Phone: +36-1-2481816 * Fax: +36-1-2481817

3 4

letoltes
by Barina Tamas 28 Mar '03

28 Mar '03

Sziasztok. Honnan tudom a GPL-es 2.0 -ás Zorp-ot letölteni? (Lehetőleg regisztráció nélkül.) Regards/Tisztelettel: Barina Tamás LAN manager + 36 70 380 0080 ------------------------------------- HLC Kft. 1123 Budapest, Alkotás út 39/C Tel.: +36 1 457 7690 Fax: +36 1 457 7699 PGP KeyID: 0xAC43C74F Fingerprint: 11AE 0464 7428 3DD8 470D 9A51 DD55 AB3B AC43 C74F

2 1

tproxy & smp
by Czakó Krisztián 22 Mar '03

22 Mar '03

Hello, Ha felteszem a 2.4.20-as kernelre a cttproxy patchet, és SMP kernelt próbálok fordítani, a fordítás elhal. Ha semmi mást nem módosítok, csak az SMTP-t kikapcsolom, akkor lefordul. A kernelen ezen kívül RSBAC patch is van, de az RSBAC tproxy patch nélkül fordul SMP-vel is. Még 1 jellemző, hogy a modul támogatás ki van kapcsolva. gcc -D__KERNEL__ -I/home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include -Wall -Wstrict-prototypes -Wno-trigraphs -O2 -fno-strict-aliasing -fno-common -fomit-frame-pointer -pipe -mpreferred-stack-boundary=2 -march=i686 -nostdinc -iwithprefix include -DKBUILD_BASENAME=ipt_tproxy -c -o ipt_tproxy.o ipt_tproxy.c In file included from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/linux/irq.h:69, from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/asm/hardirq.h:6, from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/linux/interrupt.h:45, from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/linux/netfilter_ipv4/lockhelp.h:7, from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/linux/netfilter_ipv4/ip_conntrack_ftp.h:7, from /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/linux/netfilter_ipv4/ip_conntrack.h:61, from ipt_tproxy.c:5: /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/asm/hw_irq.h: In function `x86_do_profile': /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/asm/hw_irq.h:201: `current' undeclared (first use in this function) /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/asm/hw_irq.h:201: (Each undeclared identifier is reported only once /home/slapic/Build/kernel/2.4.20/linux-rsbac-tproxy/include/asm/hw_irq.h:201: for each function it appears in.) make[3]: *** [ipt_tproxy.o] Error 1 Slapic -- Pilatus-Comp Ltd. HUNGARY * The Linux Expert * pilatuscomp(a)linux.co.hu http://www.linux.co.hu * Phone: +36-1-2481816 * Fax: +36-1-2481817

2 2

iptables, nem ertem
by Kosa Attila 18 Mar '03

18 Mar '03

Hello! Adott a kovetkezo iptables konfig: *tproxy :PREROUTING ACCEPT :OUTPUT ACCEPT :PRintra - -A PREROUTING -i GOODIF -j PRintra COMMIT *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT ACCEPT [0:0] :spoof - :noise - :icmpk - :tproxy - :LOintra - :LOinter - :DROPINVALID - -A INPUT -i lo -j ACCEPT -A INPUT -j spoof -A INPUT -j noise -A INPUT -p icmp -j icmpk -A INPUT -m tproxy -j ACCEPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -m state --state INVALID -j DROPINVALID -A INPUT -m state --state NEW -p tcp ! --syn -j DROPINVALID -A INPUT -i GOODIF -j LOintra -A INPUT -i BADIF -j LOinter -A INPUT -j LOG --log-prefix "INPUT DROP: " -A INPUT -j DROP -A FORWARD -j LOG --log-prefix "FORWARD DROP: " -A FORWARD -j DROP -A spoof -j RETURN -A noise -j RETURN -A icmpk -p icmp --icmp-type echo-request -j ACCEPT -A icmpk -p icmp --icmp-type echo-reply -j ACCEPT -A icmpk -j LOG --log-prefix "Icmpk DROP: " -A icmpk -j DROP -A LOintra -j LOG --log-prefix "LOintra DROP: " -A LOintra -j DROP -A LOinter -j LOG --log-prefix "LOinter DROP: " -A LOinter -j DROP -A DROPINVALID -j LOG --log-prefix "INVALID packet: " -A DROPINVALID -j DROP COMMIT Miert nem tudom megpingetni (egyik labrol sem) a gepet? A belso labarol pingetve a "LOintra DROP: " szoveg kerul a syslog-ba... Az az erdekes, hogy a spoof es a noise chain-be belemennek a csomagok, de az icmpk nevube nem. Mit nem veszek eszre? -- Udvozlettel Zsiga

3 4

Re: Fwd: Re: [zorp-hu] https
by Lazar Imre 16 Mar '03

16 Mar '03

On Sun, Mar 16, 2003 at 04:59:40PM +0100, Hegedus Ferenc wrote: > ----- Forwarded message from SZALAY Attila <sasa(a)balabit.hu> ----- > > Date: Wed, 12 Mar 2003 16:40:01 +0100 > User-Agent: Mutt/1.5.1i > Delivered-To: dark(a)mail.chaos.hu > To: Hegedus Ferenc <dark(a)krad.hu> > From: SZALAY Attila <sasa(a)balabit.hu> > Subject: Re: [zorp-hu] https > > Hi! > > Ugy nez ki a sok valtoztatas kozott ez elsikkadt. :(( > > Tudnad ezt a patch-et applikalni, es megnezni, hogy mi tortenik? > > ---------------------Cut here----------------------------------- > --- pssl.c 21 Jan 2003 09:40:53 -0000 > +++ pssl.c 12 Mar 2003 15:36:16 -0000 > @@ -558,6 +558,7 @@ > { > /* NOTE: timeouts are handled by ZPlugSession */ > z_poll_iter_timeout(self->poll, -1); > + z_plug_sessions_purge(&self->session_data); > } > z_plug_sessions_purge(&self->session_data); > > -------------------Cut here------------------------------------ > > Mindezt a modules/zorp-module-pssl-2.0.0 konyvtarban. > > -- > Szalay Attila BalaBit IT Biztonságtechnikai Kft. > tel:(36-1)-371-05-40 1116 Bp. Csurgoi ut 20/b > fax:(36-1)-208-08-75 http://www.balabit.hu/ > > ----- End forwarded message ----- > -- > krad applied. 2.0.2. Elsore nem latszik latvanyos javulas. Ha kirakjatok az ujat, majd tesztelem. i.

1 0

https
by Hegedus Ferenc 16 Mar '03

16 Mar '03

Sziasztok Lenne egy kis gondom a 2.0.0-as zorp https proxyzassal, lattam az elozo leveleket, de azthiszem ez mas lesz. Ugyanazzal a zonakkal, konfiggal es kulcsokkal hasznalva az 1.4.8-as zorp verzioval jol mukodik, mig a 2.0.0-assal a kliens ssl error-t mond. verbose 6-on ez az erdekes hibauzenet sor: Starting service; name='ServiceHttps' Starting proxy instance; client_fd='14', client_address='AF_INET(192.168.0.9:2064)', client_zone='Zone(ZoneIntra, 192.168.0.9/32)', client_local='AF_INET(celip:443)' Proxy starting; class='ClassSsl', module='pssl' Server connection established; server_fd='17', server_address='AF_INET(celip:443)', server_zone='Zone(ZoneInternet, 0.0.0.0/0)', server_local='AF_INET(tuzfalip:57952)' SSL handshake failed on the client side; error='error:140890C7:SSL routines:lib(20):SSL3_GET_CLIENT_CERTIFICATE:func(137):peer did not return a certificate:reason(199)' Az 1.4.8-ast potato-s kornyezetben hasznalom, a 2.0.0-ast pedig woody-n forditottam es futtatom, tproxy megvan es mukodik. A konfig mindket esetben: class ClassSsl(PsslProxy): def config(self): self.server_need_ssl = TRUE self.client_need_ssl = TRUE self.client_cert = "/etc/zorp/server.crt" self.client_key = "/etc/zorp/server.key" self.stack_proxy = ClassHttp Service("ServiceHttps", ClassSsl, router=TransparentRouter()) Listener(SockAddrInet("192.168.0.10", 4430), "ServiceHttps") A ClassHttp is ugyanugy nez ki mindket verzional. Esetleg mas openssl verzioval probalkozzak? d

8 13

transparensen https:443 -> http:80 több címre
by Czakó Krisztián 13 Mar '03

13 Mar '03

Hello, Van valami 1szerű megoldás 1.4-ben arra, hogy egy transzparens Zorp áttegyen https-en 443-as portra menő kérést http-be a 80-as portra anélkül, hogy a célcím módosulna? Slapic -- Pilatus-Comp Ltd. HUNGARY * The Linux Expert * pilatuscomp(a)linux.co.hu http://www.linux.co.hu * Phone: +36-1-2481816 * Fax: +36-1-2481817

2 1

https otpbank, winupdate
by Lazar Imre 11 Mar '03

11 Mar '03

Sziasztok, Zorp 2.0 gpl, https proxy. A https://www.otpbank.hu nem jon at rajta. A logba semmi kulonos nincs. A csomagszuro nem fog semmit, mas portokat nem hasznal. A windows update funkcio szinten nem megy at. A microsoft szerint http, es https portok kellenek a mukodesehez. Van egy gyanum, hogy nem rfc complient httpt beszelget a 443-on. Kerdezem, hogy valakinek van-e tapasztalata a fentiekkel? Masnak megy-e, szinten nem megy stb. Hogyan tudom ravenni a zorpot, hogy a teljes forgalmat ami atmegy rajta dumpolja ki nekem? Ha valaki tudna segiteni kuldok logot, configot maganban. Elso korben a listat nem akarom ezzel terhelni. Koszi, Imre.

6 10

200mmx + zorp2
by Kosa Attila 05 Mar '03

05 Mar '03

Hello! Azt szeretnem kerdezni, hogy lehet-e a szuk keresztmetszet a 200-as mmx-es proci (128MB ram-mal) a zorp2 szamara? A vonal 512K, 3 user van mogotte, de szeretnek kitomni a savszelesseget http-n keresztuli letoltessel :) Tehat lehet-e a proci miatt lassabb a letoltes? -- Udvozlettel Zsiga

3 2

[Fwd: header_checks REJECT rule for sendmail exploit]
by narancs 05 Mar '03

05 Mar '03

Esetleg ha valakit érdekel... --------- Eredeti üzenet --------- Tárgy: header_checks REJECT rule for sendmail exploit Dátum: Tue, 4 Mar 2003 11:46:33 -0500 (EST) Feladó: wietse(a)porcupine.org (Wietse Venema) To: Postfix users <postfix-users(a)postfix.org> CC: Postfix announce <postfix-announce(a)postfix.org> The header_checks pattern described below stops a recently posted Sendmail buffer overflow exploit. The exploit in question involves a sequence of <> character pairs. Sendmail increments a buffer limit pointer when it finds '>' as part of a correctly formatted email address in a message header. This is a problem because Sendmail never decremented the buffer limit pointer when it found the corresponding '<'. Thus, enough <> pairs may cause Sendmail to write past the end of a fixed-length (256 byte) buffer. This buffer is in static memory. To activate the header_checks pattern, use regexp tables if your system does not support PCRE tables. See "postconf -m" output to find out what lookup tables are supported. /etc/postfix/main.cf: # Specify either regexp or pcre. pcre is usually faster. header_checks = regexp:/etc/postfix/header_checks header_checks = pcre:/etc/postfix/header_checks /etc/postfix/header_checks: # Presumed exploit for http://www.cert.org/advisories/CA-2003-07.html /<><><><><><>/ reject possible CA-2003-07 sendmail buffer overflow exploit Note: Postfix versions before 1.1 do not support text after "reject". If you install this filter on a gateway machine, then the gateway can protect internal Sendmail systems against mail from outside that attempts to exploit this specific vulnerability. Wietse

1 0