Avatar billede karmus Nybegynder
15. marts 2007 - 22:41 Der er 1 kommentar og
1 løsning

HTTP tunneling gennem Squid proxy

Jeg bor på et kollegium tæt ved mit gymnasium som ejes af skolen - dvs. jeg er kostelev og mine forældre betaler penge for at jeg går her. Vores IT-admin er meget glad for Linux og plaprer løs om at vi alle sammen skal bruge Firefox, VLC, OpenOffice etc. og andre open-source-programmer. Men nok om det.

Hans bagside er at han desværre er tilhænger af netcensur og han gør derfor alt hvad der står i hans magt til at gøre livet surt for nørder som mig. Vi skal underskrive en internetkontrakt som indebærer en masse regler - er vi under 18 kræves forældrenes underskrift. Når den er afleveret åbnes der en bruger i Squid proxyen fx 07b-xy (xy = navneinitialer, nummeret er årstallet på ens årgang og bogstavet ved siden af ens klassebogstav) og et tilfældigt kodeord som skal bruges. Den kører over port 1080 på en intranetadresse: proxy.gyminitialer.intranet - dvs. alle programmer skal konfigureres til at køre gennem den proxy med authentication, hvilket ikke er mulighed med alt. De overvåger nettet jævnligt og tager stikprøver - bliver man opdaget i at lave noget ulovligt bliver ens kontrakt inddraget.

Port 80 og 443 er åbne (HTTP og HTTPS), men stort set alt andet er blokeret (fx 21 til FTP, 6667 til IRC, 8000 til netradio). Da jeg portscannede fandt jeg under 5 porte ud af de første 20000 som var åbne. Der er vist en af dem der er blevet åbnet til netstream, kan dog ikke huske nummeret. I hvert fald er det umuligt for mig at benytte nogle af ovenstående tjenester i parentesen uden at oprette en HTTP-tunnel, og jeg er desværre ikke så meget en haj til sådan noget.

Der er også en hel del pornosider der er lukket vha. deres banfilter, men sider som fx www.myspace.com, www.newgrounds.com, www.albinoblacksheep.com, www.imageshack.us, www.rapidshare.de som burde være harmløse er desværre også blokerede. YouTubes blokering medførte massive elevprotester og blev genåbnet, men så længe jeg nok er den eneste der kræver ovenstående sider åbnet forventer jeg ikke medhold og må derfor tage sagen i egen hånd. Kort sagt: jeg føler mig groft generet af deres sikkerhedsforanstaltninger! Jeg kan ikke hente opdateringer mit OS via FTP eller opdatere min hjemmeside uden at bruge online filmanageren, jeg kan ikke bruge IRC, jeg kan ikke høre netradio, jeg kan ikke se nettv - jeg kan intet af alt det 'sjove' fordi vi bliver tøjlet herude. (Det skal lige siges at jeg IKKE har intentioner om at misbruge min kontrakt til fx download ved at lave en tunnel - det har jeg min egen åbne netforbindelse hjemme hver 2. weekend at bruge til.)

Jeg bruger SUSE Linux 10.0 som min Linux-distribution men foretrækker at køre programmet HTTPort 3.SNFM via emuleringsprogrammet Wine. Jeg FORMODER at man skal skaffe sig en åben proxy server og via det program bypasse proxyen på proxy.initialer.intranet:1080 med sit brugernavn og kodeord som derefter sender forbindelsen videre til en tilfældig proxy og port nummer man finder på nettet. Jeg har fundet en som ikke kræver password, 62.146.100.11:10000, men så snart jeg har sat Firefox til at connecte til 127.0.0.1:10000 og aktiveret programmet (og sat den til at maske local port 10000 om til remote port 80) siger den "Bad Request (Invalid Hostname)" uanset hvilken internetadresse jeg prøver at loade. Har jeg valgt en forkert proxytype eller er den ikke bygget til at modtage HTTP-requests (forespørgsler)?

I hvert fald har jeg bevist at selve programmet virker under et Unix-environment, men hvad jeg skal gøre yderligere derfra aner jeg ikke. Jeg har hørt at jeg selv kan opsætte en Apache server som krypterer pakkerne og sender dem retur gennem port 80 så jeg kan modtage dem, men det er altså lige en tand for avanceret og omkostningsfuldt til mig. Er der nogen der har et forslag til hvordan jeg kan komme videre? Tusind tak på forhånd.
Avatar billede karmus Nybegynder
15. marts 2007 - 22:44 #1
Tilføjelser: Han går HÅRDT på jagt efter CGI-proxies (anonymizers). Ud af 300 forskellige sider fandt jeg under 5 som ikke var blokerede. De blokerede redirecter (omdigires) til intranettes hovedside.
Internettet lukkes desuden ned hver dag fra 23-07, dog 24 i weekenden. Det er min teori at det eneste som ikke kan omgås er denne foranstaltning. Det ville kræve jeg aflurede adminens kode, brød ind i kontoret og ledte under tidspres efter min egen Squid-config-fil hvor jeg kunne ophæve visse restrictions. Men det er som jeg nok antyder ganske urealistisk, ulovligt, risikabelt og direkte farligt.
Avatar billede bufferzone Praktikant
16. marts 2007 - 08:33 #2
Selvfølgelig kan der lade sig gøre at hacke en sådan installation og omgå de sikringsforanstaltninger der er lavet, men jo dygtigere admin er jo længere tid tager det og jo større er sansyneligheden for at du b liver opdaget.

Hvis admin ved hvad han gør, så der det ikke nok at hacke Squidboksen, da an sansyneligvis overvåger config filerne med tripwire, og vil blive alarmeret hvis du ændre et komma.

Hvis han f.eks. bruger Snort intrusion detection, skal både dine undersøgelser og selve dine hacks skrædersyes til at omgå denne overvågning. Dette vil f.eks. betyde at en relativ simpel port scanning kommer til at tage en måned, da du kun kan foretage en forespørgsel hver 21 minut og da du vil være nødt til at iblande falske scanninger vil det samlede tidsforbrug stige meget.

Http tunnelen er heller ikke en optiln du kan bruge, da Squiden jo netop er en applikations proxy der kender http protokollen indgående, hvorfor den faktisk vil være i stand til at genkende de fleste af disse tunnelen. Hvis du skal have en chance for at komme igennem med en tunnel, så skal du betjene dig af en anden protokol end http eller af en http tunnel som ikke er kendt på forhånd og ikke betjener sig af kendte og genkendelige teknikker. Du skal dog være opmærksom på at kombinatinen snort, tripwire, Squid fretager dig de fleste muligheder.

Mit råd til dig er qat glemme alt om dette og spilde inden for reglerne, jeg vil vurderer at du med meget stor sansynelughed "går i nettet" hvis du forsøger med noget som heldst.

Hvis jeg var dig og du interesserer dig for denne slags ting, så slå dig hellere sammen med admin. Overhold hans regler og vær en medspiller, så kan detvære at han vil bruge lidt tid på at lære dig noget om hvordan tingene er sat op og måske på sigt give dig flere previligier på nettet.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester

IT-JOB

IT-Universitetet i København

CIO

Ringkjøbing Landbobank – Nordjyske Bank

Forretningsudvikler til procesoptimering