Hoe user blocken met spoofed ip?

[no_player_4u]

Hi Allen,

Op mijn forum/server is een user met spoofed ip's bezig onzin berichten te plaatsen. Hoe kan ik deze user blokken? Kan het via mac adress, zoals hier beschreven:

http://www.cyberciti.biz/tips/iptables-mac-address-filtering.html

zo ja, hoe kom ik aan het mac adress, want arp werkt niet?

[lmp]

Nee, dat kan niet op mac adres. Tenzij je gebruiker in dezelfde subnet zit als je server. Maar dan zou arp ook werken.

[no_player_4u]

Nee, dat kan niet op mac adres. Tenzij je gebruiker in dezelfde subnet zit als je server. Maar dan zou arp ook werken.

Dacht ik al, maar hoe wel? :-)

[lmp]

Blokkeer de gebruiker en niet het IP.
Al kan ik je uit praktijk ervaring vertellen dat, ook dat niet altijd helpt.

[no_player_4u]

Blokkeer de gebruiker en niet het IP.
Al kan ik je uit praktijk ervaring vertellen dat, ook dat niet altijd helpt.

Kan niet, want bij mij hoef je niet te registreren...

[Yourwebhoster]

Kan niet, want bij mij hoef je niet te registreren...
Zet registratie dan aan, als ze echt iets willen plaatsen dan registreren ze zich wel.

[lmp]

Kan niet, want bij mij hoef je niet te registreren...
Dan wordt het elk ip waar die van komt opnemen in je blokkeer lijst.

Vervelende kan zijn dat als die via een proxy waar andere ook gebruik van maken komt, dat je die andere gebruikers van de zelfde proxy ook blokkeerd.

[no_player_4u]

Zet registratie dan aan, als ze echt iets willen plaatsen dan registreren ze zich wel.

Nee pas niet bij de aard van het forum en ik wil niet 'overgeven' aan één misdragende bezoeker.

[no_player_4u]

Dan wordt het elk ip waar die van komt opnemen in je blokkeer lijst.



Dan blijf je bezig. Ik las bij cisco iets van dat sommige van hun routers kunnen checken of de afzender ip echt bestaat en klopt. Is zoiets niet mogelijk met iptables ofzo?


Use reverse path forwarding (ip verify)

Another way to protect your network from IP address spoofing is reverse path forwarding (RPF)—or ip verify. In the Cisco IOS, the commands for reverse path forwarding begin with ip verify.
verder lezen (http://articles.techrepublic.com.com/5100-10878_11-6166899.html)

[cyberbootje]

Link: http://www.sysresccd.org/Sysresccd-Networking-EN-Iptables-and-netfilter-load-balancing-using-connmark

CRTL + F: Reverse Path Filtering

[lmp]

Hoe kom je er eigenlijk bij dat de gebruiker een spoofed ip gebruikt?

Als ik een post op jou forum wil doen, dan moet ik toch echt een tcp sessie opzetten. Als ik een gesppofed source ip gebruik bij het opzetten, zal ik nooit een tcp sessie op kunnen zetten en dus niets kunnen posten. Dus waarom concludeer jij dat er een spoofed ip gebruikt wordt?

[cyberbootje]

Hoe kom je er eigenlijk bij dat de gebruiker een spoofed ip gebruikt?

Als ik een post op jou forum wil doen, dan moet ik toch echt een tcp sessie opzetten. Als ik een gesppofed source ip gebruik bij het opzetten, zal ik nooit een tcp sessie op kunnen zetten en dus niets kunnen posten. Dus waarom concludeer jij dat er een spoofed ip gebruikt wordt?

Inderdaad, zou ik ook denken... heb je uberhaubt al geprobeerd een drop te doen voor dat ip via iptables? Of sterker nog, beetje gegoogled op dat ip, trace gedaan, etc....
Zo weet je gelijk een hoop meer :yes:

[SebastiaanStok]

Wat wel mogelijk is dat je vertrouwd op de aanwezigheid van HTTP_CLIENT_IP.
En die is te vervalsen.

Alleen REMOTE_ADR over TCP is goed te vertrouwen.

[Cakkie]

En geeft die user de berichten zelf in, of gebruikt hij hiervoor een script? In het laatste geval zou je er een captcha kunnen bijzetten.
Verder zou je eventueel ook aan content filtering kunnen doen, hangt natuurlijk ook af van de inhoud van de berichten.

[Voxio]

Misschien een idee om deze gebruiker een "ban-cookie" te geven?

[Ramon Fincken]

google es op forwarded IP.

een cookie ban ( daarna ) zou inderdaad netjes zijn :)

[no_player_4u]

Hoe kom je er eigenlijk bij dat de gebruiker een spoofed ip gebruikt?

Als ik een post op jou forum wil doen, dan moet ik toch echt een tcp sessie opzetten. Als ik een gesppofed source ip gebruik bij het opzetten, zal ik nooit een tcp sessie op kunnen zetten en dus niets kunnen posten. Dus waarom concludeer jij dat er een spoofed ip gebruikt wordt?
Nu je het zo vraagt, nee eigenlijk weet ik dat niet zeker. Ik gebruik SMF-forum en het ip dat bij elke bericht wordt getoond. Ik zie alleen dat de gebruiker soms om de paar tellen een nieuw ip heeft, dus dat wat wordt getoond bij elk forum bericht.

[no_player_4u]

Inderdaad, zou ik ook denken... heb je uberhaubt al geprobeerd een drop te doen voor dat ip via iptables? Of sterker nog, beetje gegoogled op dat ip, trace gedaan, etc....
Zo weet je gelijk een hoop meer :yes:

Ja al gedaan en dat werkte niet, dus de ip gedropt die bij het forum bericht wordt getoond.

[no_player_4u]

Wat wel mogelijk is dat je vertrouwd op de aanwezigheid van HTTP_CLIENT_IP.
En die is te vervalsen.

Alleen REMOTE_ADR over TCP is goed te vertrouwen.

Dit zou heel goed mogelijk kunnen zijn, ik weet niet wat het forum gebruikt (SMF-forum). Als dit het geval mocht zijn, hoe kom ik aan het echte ip?

[no_player_4u]

Misschien een idee om deze gebruiker een "ban-cookie" te geven?

Moet hiervoor de forum software worden aangepast?

[no_player_4u]

Ik las trouwens net dit artikel:

SMF IP Spoofing and Ban Evasion
http://www.securiteam.com/unixfocus/5YP0315IUO.html

Een beetje oud, maar misschien nog steeds geldig.

[DiedX]

Maakt hij niet gebruik van Tor?

[Ramon Fincken]

Ik las trouwens net dit artikel:

SMF IP Spoofing and Ban Evasion
http://www.securiteam.com/unixfocus/5YP0315IUO.html

Een beetje oud, maar misschien nog steeds geldig.

Ziet er wel goed uit, dat was wat ik bedoelde inderdaad. Hier vang je o.a. proxies mee af.

Daarnaast .. is een antispam module ( denk aan max 1 bericht per minuut etc.. ) aan te raden. Wellicht is deze voor je probleem ( kom je snel genoeg achter ) zo slecht nog niet: http://www.ramonfincken.com/148/HTML+and+other+markup6programming+languages/%5Bsolution%5D+Block+external+POST+to+my+domain.ht ml