SHO酱的Blog

SHO酱的Blog

Linux防火墙上过滤外来ICMP timestamp请求响应和禁止Traceroute探测

2023-08-04

文章出处

Linux防火墙上过滤外来ICMP timestamp请求响应和禁止Traceroute探测

https://www.cnblogs.com/fengguozhong/p/16505998.html

近期在给云服务器做安全加固,针对ICMP timestamp请求响应漏洞和允许Traceroute探测两项漏洞做一个解决方案的说明。

漏洞一、

  • 漏洞名称:ICMP timestamp请求响应漏洞 CVE编号: CVE-1999-0524 风险等级低 ,协议ICMP

  • 详细描述:远程主机会回复ICMP_TIMESTAMP查询并返回它们系统的当前时间。这可能允许攻击者攻击一些基于时间认证的协议。

  • 解决办法:NSFOCUS建议您采取以下措施以降低威胁:在您的防火墙上过滤外来的ICMP timestamp(类型 13)报文以及外出的ICMP timestamp回复报文。

在防火墙增加:

iptables -A INPUT -p ICMP --icmp-type timestamp-request -j DROP
iptables -A INPUT -p ICMP --icmp-type timestamp-reply -j DROP

漏洞二、

  • 漏洞名称:允许Traceroute探测 CVE编号: CVE-1999-0633 风险等级低 ,协议ICMP

  • 详细描述:本插件使用Traceroute探测来获取扫描器与远程主机之间的路由信息。攻击者也可以利用这些信息来了解目标网络的网络拓扑。

  • 解决办法:在防火墙出入站规则中禁用echo-reply(type 0)、time-exceeded(type 11)、destination-unreachable(type 3)类型的ICMP包。

在防火墙增加:

 iptables -A INPUT -p ICMP --icmp-type echo-reply -j DROP
 iptables -A OUTPUT -p ICMP --icmp-type echo-reply -j DROP
 iptables -A INPUT -p ICMP --icmp-type time-exceeded -j DROP
 iptables -A OUTPUT -p ICMP --icmp-type time-exceeded -j DROP
 iptables -A INPUT -p ICMP --icmp-type destination-unreachable -j DROP
 iptables -A OUTPUT -p ICMP --icmp-type destination-unreachable -j DROP

# 查看防火墙策略

iptables -L -n