念念 2007-3-24 13:44
checkpoint也有一些毛病,转贴!
checkpoint也有一些毛病,转贴!
此外关于checkpoint需要注意一点的是，checkpoint数据包处理引擎INSPECT对高层的数据包核查并不象想象的那样支持非常多的应用，而是将主要精力放在了常用的http,ftp,mail等一些比较普遍的应用上，也即，不是所有的高层的所有数据包都会被INSPECT审核，使用者不要迷信checkpoint宣称的INSPECT技术，我们可以看下面的例子：
这里是checkpoint在sql slammer蠕虫蔓延时的一个扩展的INSPECT CODE，
deffunc sql_worm_slammer() {
(
dport = 1434,
packetlen >= (20 +8 +1 +96 +4),
[UDPDATA:1] = 0x04,
[UDPDATA+97:4,b] = 0xDCC9B042,
LOG(long, LOG_NOALERT, 0) or 1,
drop
)
or accept;
};
本人没有找到关于checkpoint INSPECT CODE的说明文档，但是观察上面的内容，我们可以猜出来一些东西。至少从这个CODE内容看，这是个基于签名的代码，我们可以看到比较关键部门可能包括两点：dport = 1434，端口1434，packetlen >= (20 +8 +1 +96 +4)，数据包长度？20是ip头，8是udp长度，1,96,4是什么？ 本人没使劲猜（我猜得到开始，猜不到结局…… ；））
从上面的内容来看，其实checkpoint防火墙本身在处理sql slammer蠕虫时，并不象想象的那样真正的懂得sql的应用的，它可能只是执行了简单的匹配而已（本来想多看几个INSPECT CODE的，可惜要口令，幸亏原来下了一个sql slammer的）。