Newsgroup: it.comp.sicurezza.varie
Titolo: ACK tunneling, server baccato...?

Ciao a tutti !
Volevo chiedere informazioni in merito ad una situzione
che ritengo anomala.
Chiamiamo:
PROXY - un reverse proxy, Linux Debian con funzionalità di firewall
per una rete di Webserver
W2k3 - un webserver Microsoft Windows (2003 Server per l'appunto)
Quest'ultimo e' posto in una DMZ.
Da alcuni giorni ho notato un mostruoso aumento del traffico di rete
fra queste due macchine.
Catturando il traffico per una migliore analisi, emerge una situazione
alquanto anomala;
tra le due macchine infatti, si è instaurato una sorta di auto-DOS :(
Riporto qualche riga, tanto per capirci:
PROXY -> W2k3     TCP 52687 > www [ACK] Seq=
3605076344
Ack=
2517249347
 Win=1448 Len=0
W2k3 -> PROXY     HTTP Continuation
PROXY -> W2k3     TCP 52687 > www [ACK] Seq=
3605076344
Ack=
2517250795
 Win=0 Len=0
PROXY -> W2k3     TCP 52687 > www [ACK] Seq=
3605076344
Ack=
2517250795
 Win=5792 Len=0
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
W2k3 -> PROXY     HTTP Continuation
E' potrei andare avanti in eterno. Questa situzione va avanti 24 ore al giorno.
Inoltre la frequenza di questo traffico e' cosi' elevata, da non
riuscire a seguire le righe che scorrono in output.
I restanti server in DMZ( 2 macchine Linux ), non presentano alcun
problema.
Abbatendo IIS, tutto torna alla normalita'.
In ingresso dal router verso il firewall, la situazione è analoga, ma non
con la stessa frequenza. 
Cio' non toglie che si tratta sempre di traffico diretto a quel 
maledettisimo webserver !
Ho fatto una corposa ricerca su internet alla ricerca di informazioni,
ma con scarsi risultati.
Mi sono orientato inoltre sulla documentazione on-line rilasciata da
Microsoft, e i vari parametri regolabili attraverso il registro di
configurazione.
KeepAliveTimeout, TcpWindowSize e via dicendo, ma e' come non aver fatto
nulla ! 
Qualcuno ha accusato problemi analoghi su Windows 2000: errata
gestione dei buffer, se non erro ma a quanto pare nella versione 2003
dovrebbe essere risolto.
Ho passato alcuni security scanner su Win per assicurarmi che la maccina
non sia stata compromessa, oltre alla quotidiana scansione antivirus.
Verificati processi attivi: tutto in ordine.
I LOG di windows dicono....nulla; mah !
Pensavo anche ad una scheda di rete baccata,
ma sostituendola la situazione non cambia.
Sul Firewall non ci sono traccie di compromissione: AIDE non segnala
nulla, le signature dei file sono corrette, e chkrootkit non trova nulla.
Anche qui, i pochi processi attivi sono regolari.
Ho pensato che si trattase di una marea di connesione invalide,
provenineti dall'esterno, che in generano questo carnaio, ma 
c'è qualcosa che non mi torna: se il firewall è
"stateful inspection", allora non dovrebbe rigettare le connessioni
INVALIDE ?
Forse c'è qualche modo per eludere in questi termini il firewall ???
Questo è quanto: ogni suggerimento o consiglio è ben accetto :)
Grazie a tutti!

 Questo è quanto: ogni suggerimento o consiglio è ben accetto :)
Senza un bel dump completo di una sessione, e' difficile fare
ipotesi precise, imho.
Ad esempio, i sequence number dei pacchetti provenienti dal win2k3
avrebbero gia' potuto dire qualcosa.
Ah, magari anche le regole di INPUT e di OUTPUT sull'interfaccia dmz.
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino


I dati forniti non sono sufficienti per fare un'analisi completa. Tuttavia 
e' interessante notare che i Seq. numbers sono gli stessi.  Come se il proxy 
cercasse di rispedire pacchetti che a suo avviso, il Web server non ha 
ricevuto. Sarebbe interessante vedere la sequenza temporale tra i pacchetti.
Non credo che si tratti di un attacco, ma penso che sia un glitch del web 
server a generare la ritrasmissione dei pacchetti da parte del proxy. Se il 
problema fosse derivato da un errore di configurazione del FW non avresti 
ricevuto la risposta dal Web server: W2k3 -> PROXY     HTTP Continuation.
My 5c
Tony