《黑客防线》↑在攻与防的对立统一中寻求突破!2001年创刊的黑客技术专业刊物!

设为首页
收藏本站
联系我们
网站导航


技术论坛 - 公共交流区 - 站长安全顾问 - 帖子浏览 - [Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
您是本贴第 169 位浏览者 本版版主
帖子浏览: [Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
  • morephaze
  • 等级: 黑客防线技术团队
  • 勋章:
  • 发贴: 391 贴
  • 货币: 0 金币
  • 积分: 265 分
  • 经验: 1315 点
  • 体力: 3630 点
  • 注册: 2005-11-14
[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
我们学校在宿舍的交换机那里设置了ACL,周一至五晚上12点断网,但是,很奇怪的现象是,虽然过了十二点,但是用过UTALK的同学反映,虽然不能上网,却可以继续听到外网的人的说话声,我估计是ACL不阻止外面数据进来,所以我想,如果能让所有的链接都反向,那和不断网也没什么分别了。如果要是能继续听到外网的声音的话 那可能就是交换机里面配置的访问规则是丢弃所有内网到外网去的包而并没有禁止外网进来的包。
目前的测试是:自己建立一个FTP,11:59的时候登上肉鸡往我的机器传一个6G的文件夹,结果一到断网时间,我的FTP服务器提示reply数据发送失败,连接中止。
分析:因为FTP协议是基于TCP上面的,所以初步认为TCP的双向交互机制使得该实验失败,目前未有寄望于基于UDP的反弹程序了。
希望大家能有更好的建议。
我的blog复活了,2008~
link:http://morephaze.zhmy.com/
2008-4-4 10:46:19
  • boy5
  • 等级: 钻石VIP
  • 发贴: 744 贴
  • 货币: 0 金币
  • 积分: 1148 分
  • 经验: 48807 点
  • 体力: 224935 点
  • 注册: 2008-01-29
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
我们学校的网也是12点断,不过已经连接上的却不会断。
估计是可能是做了限制,过了12点就不能对外发送数据包。
不过好久以前就换成电信了,所以一直没去找资料看怎么 突破。呵呵
期待高手的方法
My Blog: CiKe.Name(目前是挂广告用的,因为买的空间因为奥运关了1个月WEB服务。所以弄了个免费的挂点广告弥补下损失)
e-mail : me@cike.name
2008-4-4 11:04:36
  • morephaze
  • 等级: 黑客防线技术团队
  • 勋章:
  • 发贴: 391 贴
  • 货币: 0 金币
  • 积分: 265 分
  • 经验: 1315 点
  • 体力: 3630 点
  • 注册: 2005-11-14
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
交换机均为神洲数码DSC5200,DSC3950系列
方法:在交换机中加入时间限制ACL
time-range denybks
periodic monday tuesday wednesday thursday 0:0:0 to 9:59:0
periodic monday tuesday wednesday thursday friday 0:0:0 to 9:59:0
ip access-list extended denybks
deny ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 time-range denybks
把ACL加到各端口上.
为了统一交换机时间,做了SNTP服务器
并在各交换机上进行SNTP绑定.
sntp server 192.168.168.166



以上是我从网管的服务器那里偷来的一些調网日志
我的blog复活了,2008~
link:http://morephaze.zhmy.com/
2008-4-5 18:38:06
  • boy5
  • 等级: 钻石VIP
  • 发贴: 744 贴
  • 货币: 0 金币
  • 积分: 1148 分
  • 经验: 48807 点
  • 体力: 224935 点
  • 注册: 2008-01-29
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
Quote:
time-range denybks
periodic monday tuesday wednesday thursday 0:0:0 to 9:59:0
periodic monday tuesday wednesday thursday friday 0:0:0 to 9:59:0

请问下,这里为什么定义2个限制时间的?一个是星期一到星期四,还有个是星期一到星期五。不过这个阻止的时间段有点郁闷,0点到10点都不能上网
Quote:

ip access-list extended denybks
deny ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 time-range denybks
把ACL加到各端口上.

还有这里,这个是定义了一个阻止的IP段,后面的time-range denybks
是把这两个关联在一起么?这里怎么也出现的2个一样的阻止IP段?

呵呵,不明白,问题可能菜了,高手就莫笑了
本贴已被 作者2008-4-5 18:54:8 编辑过
My Blog: CiKe.Name(目前是挂广告用的,因为买的空间因为奥运关了1个月WEB服务。所以弄了个免费的挂点广告弥补下损失)
e-mail : me@cike.name
2008-4-5 18:46:01
  • morephaze
  • 等级: 黑客防线技术团队
  • 勋章:
  • 发贴: 391 贴
  • 货币: 0 金币
  • 积分: 265 分
  • 经验: 1315 点
  • 体力: 3630 点
  • 注册: 2005-11-14
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
periodic monday tuesday wednesday thursday friday 0:0:0 to 9:59:0
才是真的,那个我也不知道上面为什么会有~
后面的交换机语句很少接触,所以发上来让各位牛牛参考下~
我的blog复活了,2008~
link:http://morephaze.zhmy.com/
2008-4-5 19:11:37
  • boy5
  • 等级: 钻石VIP
  • 发贴: 744 贴
  • 货币: 0 金币
  • 积分: 1148 分
  • 经验: 48807 点
  • 体力: 224935 点
  • 注册: 2008-01-29
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
Quote: 以下是引用 morephaze 于 2008-4-5 19:11:37 的发言
periodic monday tuesday wednesday thursday friday 0:0:0 to 9:59:0
才是真的,那个我也不知道上面为什么会有~
后面的交换机语句很少接触,所以发上来让各位牛牛参考下~

呵呵,我更不熟。路由器也仅仅知道一点点而已,命令没去记,应为用的少
目前现在正努力熟悉linux,呵呵
My Blog: CiKe.Name(目前是挂广告用的,因为买的空间因为奥运关了1个月WEB服务。所以弄了个免费的挂点广告弥补下损失)
e-mail : me@cike.name
2008-4-5 19:21:12
  • netwatch
  • 等级: 钻石VIP
  • 发贴: 101 贴
  • 货币: 0 金币
  • 积分: 105 分
  • 经验: 446 点
  • 体力: 1995 点
  • 注册: 2006-03-27
Re:[Hack][讨论]关于突破交换机ACL的一些思考,仅作技术讨论
基于时间的acl只是禁止了tcp通讯,没有禁止udp。
2008-4-8 10:28:44