Χρήση της ιδιοκτησίας socket για να σπάσει έναν τοπικό βρόχο ανακατεύθυνσης διαμεσολαβητή

Ένας τοπικός διαμεσολαβητής υποκλοπής ανοίγει νέες εξερχόμενες συνδέσεις. Αν μια καθολική ανακατεύθυνση OUTPUT πιάσει και αυτά τα socket, στέλνει τον διαμεσολαβητή πίσω στον δικό του ακροατή.

Για μια υπάρχουσα ρύθμιση IPv4 iptables NAT, μια αποκλειστική ταυτότητα υπηρεσίας μπορεί να διακρίνει αυτά τα socket:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Αυτό το απόσπασμα κανόνων προϋποθέτει ότι ο ακροατής με δυνατότητα υποκλοπής υπάρχει ήδη στη θύρα 8080 και ότι τα εξερχόμενα socket του διαμεσολαβητή ανήκουν στον proxyuser. Οι συνδέσεις αυτού του χρήστη εξαιρούνται από τον κανόνα· οι κατάλληλες συνδέσεις άλλων χρηστών ανακατευθύνονται.

Ένα πρόγραμμα περιήγησης συνήθως επιλέγει μια εφήμερη θύρα προέλευσης. Η αντιστοίχιση της θύρας προέλευσης 80 ή 443 δεν είναι αξιόπιστος τρόπος να αναγνωρίσετε τις συνδέσεις του στον ιστότοπο ή να εξαιρέσετε τον διαμεσολαβητή.

Η αντιστοίχιση ιδιοκτήτη αφορά κίνηση που παράγεται τοπικά με ιδιοκτησία socket. Δεν υποκαθιστά μια πολιτική διεύθυνσης προέλευσης για πακέτα που φτάνουν από άλλες μηχανές.

Κρατήστε υπόψη την υπάρχουσα σειρά κανόνων και την πολιτική δικτύου. Η ανακατεύθυνση δεν μετατρέπει έναν ακατέργαστο ακροατή SOCKS σε προσαρμογέα υποκλοπής, και το IPv6 χρειάζεται επίσης την κατάλληλη διαμόρφωσή του.