RemoteApp सर्वर सुरक्षा में सुधार

यह कोई रहस्य नहीं है कि विंडोज 2008 में शुरू की गई रिमोटएप तकनीक, साइट्रिक्स के एप्लिकेशन एक्सेस टेक्नोलॉजीज के लिए माइक्रोसॉफ्ट का जवाब है। सब कुछ ठीक होगा, लेकिन रोजमर्रा की जिंदगी में इस तकनीक का उपयोग करने के लिए, आरडी गेटवे की उपस्थिति के बिना, आपको एक खुले जावक आरडीपी पोर्ट टीसीपी / 3389 की आवश्यकता है। अपने टर्मिनल सर्वरों का अवलोकन करते हुए, मैंने पाया कि सर्वर लगातार विभिन्न उपयोगकर्ताओं के पासवर्ड को क्रैक करने के लिए क्रूर-बल के हमलों के संपर्क में हैं।
भाग्य को लुभाने के लिए नहीं, मैंने आरडीपी तक पहुंच की योजना को थोड़ा संशोधित किया।



चूंकि ज्यादातर मामलों में सर्वर राउटर के पीछे स्थित होते हैं, जिसमें से पोर्ट को टर्मिनल सर्वर में भेज दिया जाता है, हम उन लोगों के लिए एक नाइट चाल और गतिशील रूप से ओपन पोर्ट 3389 बनाते हैं जो सही तरीके से लॉग इन करते हैं।
ऐसा करने के लिए, फ़ाइल को संपादित करें Windows \ Web \ RDWeb \ Pages \ Default.aspx , इसमें कुछ नई कार्यक्षमता जोड़ते हुए।

void goToFolder(string getLangVal) { Response.Redirect(getLangVal + "/Default.aspx" + Request.Url.Query,true); } private float getInternetExplorerVersion() { // Returns the version of Internet Explorer or a -1 // (indicating the use of another browser). float rv = -1; System.Web.HttpBrowserCapabilities browser = Request.Browser; if (browser.Browser == "IE") rv = (float)(browser.MajorVersion + browser.MinorVersion); return rv; } void Page_Load(Object sender, EventArgs e) { string UserIPAddress = Request.ServerVariables["REMOTE_ADDR"]; string UserName = Request.ServerVariables["AUTH_USER"]; string safeString = System.Security.SecurityElement.Escape(UserName); string url = "http://myrouter/cgi-bin/open.cgi?ip=" + UserIPAddress + "&user=" + safeString ; HttpWebRequest request = (HttpWebRequest)HttpWebRequest.Create(url); request.Accept = "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"; request.AllowAutoRedirect = false; request.KeepAlive = true; HttpWebResponse response = (HttpWebResponse)request.GetResponse(); double ver = getInternetExplorerVersion(); if (ver > 0.0) { if (ver < 7.0) Response.Redirect("TSWeb/Default.asp",true); } else { Response.Redirect("Unsupported/Default.asp",true); } string langCode = null; System.Globalization.CultureInfo culture; // For each request initialize the culture values with // the user language as specified by the browser. 

रिमोट एप्लिकेशन सूची के साथ एक पोर्टल पृष्ठ लोड करते समय, आंतरिक आईआईएस प्रमाणीकरण का उपयोग किया जाता है। उपरोक्त स्क्रिप्ट तभी निष्पादित की जाएगी जब प्राधिकरण सही होगा।

राउटर पर, "नेट- mgmt / pftabled" स्थापित करें।
एक कुंजी बनाएँ

 dd if=/dev/random bs=20 count=1 | md5 | cut -c 1-19 > /etc/pftabled.key 

और rc.conf में सेवा को सक्रिय करें

 pftabled_enable="YES" pftabled_flags="-d -k /etc/pftabled.key -t 432000" 

इसके बाद, thttpd को बढ़ाएं और cgi-bin में एक ओपन.ग्रीग स्क्रिप्ट बनाएं

 #!/usr/bin/perl use strict; use warnings; use CGI qw/:standard/; use IO::Socket; use Digest::HMAC_SHA1 qw(hmac_sha1); use Net::SMTP; use vars qw/%macs $pftabled $key %mac_ip/; use constant PFTBLPORT => 56789; use constant pfip => "127.0.0.1"; use constant PFTBLVERSION => 2; use constant PFTABLED_CMD_ADD => 1; use constant PFTABLED_CMD_DEL => 2; use constant PFTABLED_CMD_FLUSH => 3; use constant PFTBLCOMMAND => 1; use constant PFTBLMASK => 32; use constant SHA1_DIGEST_LENGTH => 20; use constant PFTBLNAME => "RDP"; my $keyfile = "/etc/pftabled.key"; if (! -r $keyfile) { print STDERR "Cannot Read KeyFile $keyfile\n"; exit 1; } open(KEY, "<$keyfile"); sysread KEY, $key, SHA1_DIGEST_LENGTH; close KEY; $pftabled = IO::Socket::INET->new(Proto => 'udp', PeerPort => PFTBLPORT, PeerAddr => pfip) or die "Creating socket: $!\n"; #prepare struct for pftabled my $command = '1'; my $iparray = param("ip"); #print @iparray; my $addr = inet_aton($iparray); my $time = time(); my $block = pack("C1 S1 C1",PFTBLVERSION,$command,PFTBLMASK).$addr.pack("a32 N*",PFTBLNAME,$time); my $digest = hmac_sha1($block, $key); $block .= $digest; $pftabled->send($block); print header(); my $smtp = Net::SMTP->new('mysmtpserver.mydomain.ru'); $smtp->mail('terminal_guard@mydomain.ru'); $smtp->to('account_admin@mydomain.ru'); $smtp->data(); $smtp->datasend("To: account_admin\@mydomain.ru\n"); $smtp->datasend("Subject: Terminal server logon detected\n"); $smtp->datasend("\n"); $smtp->datasend("User ".param("user")." logged on from ".param("ip")."\n"); $smtp->dataend(); $smtp->quit; exit(0); 

अब आप pf विन्यास को ठीक कर सकते हैं।

 external_addr="1.1.1.1" terminal_server_addr="192.168.1.1" table <RDP> persist { } rdr on $ext_if proto tcp from <RDP> to $external_addr port 3389 -> $terminal_server_addr port 3389 # terminal pass in on $ext_if proto tcp from <RDP> to { $external_addr, $terminal_server_addr } port { 3389 } flags S/SA keep state 

यदि प्रमाणीकरण सफल होता है, तो स्क्रिप्ट उपयोगकर्ता में लॉग इन का नाम और आईपी पता प्राप्त करती है जिसमें से अनुरोध किया गया था। आईपी ​​पते के बारे में जानकारी आरडीपी तालिका में रखी गई है और उपयोगकर्ता को आरडीपी कनेक्शन तक पहुंच मिलती है।
आप फ़ाइल C: \ Windows \ Web \ RDWeb \ Pages \ Web.config में RDP सर्वर पर विंडोज़ प्रमाणीकरण सक्षम कर सकते हैं

यदि वांछित है, तो आप कस्टम त्रुटि का उपयोग कर सकते हैं और एक ही तरह से पासवर्ड लॉगिन दर्ज करने के कई असफल प्रयासों के साथ हमलावरों के पते को ब्लॉक कर सकते हैं। सच हो सकता है एफ.पी. लेकिन इसके बिना आप कहीं भी नहीं जा सकते।

Aborche 2013