Mikrotik.moscow [тема: Вредоносное ПО и скрипты богон.]

Вредоносное ПО и скрипты богон.

Wed, 21 Dec 2005 11:31:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Спасибо, это отлично! Один небольшой момент: мы обычно не расписываемся на страницах, так как всё и так записано на странице истории.
21.12.2005 11:31:00, lastguru.

Вредоносное ПО и скрипты богон.

Tue, 20 Dec 2005 16:39:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Только что сделал свой первый: http://wiki.mikrotik.com/wiki/Generate_bogons_firewall_chain_based_on_routing-marks Сам
20.12.2005 16:39:00, changeip.

Вредоносное ПО и скрипты богон.

Tue, 20 Dec 2005 11:28:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Эта информация уже добавлена в вики?
20.12.2005 11:28:00, lastguru.

Вредоносное ПО и скрипты богон.

Mon, 19 Dec 2005 18:14:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Вот перевод текста на русский язык:

Вот мой скрипт, который принимает фид богон-сетей BGP и преобразует его в список адресов: ## Создает список адресов из богонов на основе
## изученных маршрутов BGP, которые имеют конкретный routing-mark.

:log info "Удаляю все БОГОНЫ, начинаю синхронизацию."
:foreach subnet in [/ip firewall address-list find list=bogons] do {
/ip firewall address-list remove $subnet
}

:foreach subnet in [/ip route find routing-mark=bogons] do {
:set bogon [/ip route get $subnet dst-address]
:log info ("Найдено " . $bogon . " как запись богона.")
/ip firewall address-list add list=bogons address=$bogon
}

Вот текущая цепочка, если вы просто хотите скопировать и вставить ее:
/ ip firewall address-list
add list=bogons address=1.0.0.0/8 comment="" disabled=no
add list=bogons address=2.0.0.0/8 comment="" disabled=no
add list=bogons address=5.0.0.0/8 comment="" disabled=no
add list=bogons address=7.0.0.0/8 comment="" disabled=no
add list=bogons address=10.0.0.0/8 comment="" disabled=no
add list=bogons address=23.0.0.0/8 comment="" disabled=no
add list=bogons address=27.0.0.0/8 comment="" disabled=no
add list=bogons address=31.0.0.0/8 comment="" disabled=no
add list=bogons address=36.0.0.0/8 comment="" disabled=no
add list=bogons address=37.0.0.0/8 comment="" disabled=no
add list=bogons address=39.0.0.0/8 comment="" disabled=no
add list=bogons address=42.0.0.0/8 comment="" disabled=no
add list=bogons address=49.0.0.0/8 comment="" disabled=no
add list=bogons address=50.0.0.0/8 comment="" disabled=no
add list=bogons address=77.0.0.0/8 comment="" disabled=no
add list=bogons address=78.0.0.0/8 comment="" disabled=no
add list=bogons address=79.0.0.0/8 comment="" disabled=no
add list=bogons address=92.0.0.0/8 comment="" disabled=no
add list=bogons address=93.0.0.0/8 comment="" disabled=no
add list=bogons address=94.0.0.0/8 comment="" disabled=no
add list=bogons address=95.0.0.0/8 comment="" disabled=no
add list=bogons address=96.0.0.0/8 comment="" disabled=no
add list=bogons address=97.0.0.0/8 comment="" disabled=no
add list=bogons address=98.0.0.0/8 comment="" disabled=no
add list=bogons address=99.0.0.0/8 comment="" disabled=no
add list=bogons address=100.0.0.0/8 comment="" disabled=no
add list=bogons address=101.0.0.0/8 comment="" disabled=no
add list=bogons address=102.0.0.0/8 comment="" disabled=no
add list=bogons address=103.0.0.0/8 comment="" disabled=no
add list=bogons address=104.0.0.0/8 comment="" disabled=no
add list=bogons address=105.0.0.0/8 comment="" disabled=no
add list=bogons address=106.0.0.0/8 comment="" disabled=no
add list=bogons address=107.0.0.0/8 comment="" disabled=no
add list=bogons address=108.0.0.0/8 comment="" disabled=no
add list=bogons address=109.0.0.0/8 comment="" disabled=no
add list=bogons address=110.0.0.0/8 comment="" disabled=no
add list=bogons address=111.0.0.0/8 comment="" disabled=no
add list=bogons address=112.0.0.0/8 comment="" disabled=no
add list=bogons address=113.0.0.0/8 comment="" disabled=no
add list=bogons address=114.0.0.0/8 comment="" disabled=no
add list=bogons address=115.0.0.0/8 comment="" disabled=no
add list=bogons address=116.0.0.0/8 comment="" disabled=no
add list=bogons address=117.0.0.0/8 comment="" disabled=no
add list=bogons address=118.0.0.0/8 comment="" disabled=no
add list=bogons address=119.0.0.0/8 comment="" disabled=no
add list=bogons address=120.0.0.0/8 comment="" disabled=no
add list=bogons address=121.0.0.0/8 comment="" disabled=no
add list=bogons address=122.0.0.0/8 comment="" disabled=no
add list=bogons address=123.0.0.0/8 comment="" disabled=no
add list=bogons address=169.254.0.0/16 comment="" disabled=no
add list=bogons address=172.16.0.0/12 comment="" disabled=no
add list=bogons address=173.0.0.0/8 comment="" disabled=no
add list=bogons address=174.0.0.0/8 comment="" disabled=no
add list=bogons address=175.0.0.0/8 comment="" disabled=no
add list=bogons address=176.0.0.0/8 comment="" disabled=no
add list=bogons address=177.0.0.0/8 comment="" disabled=no
add list=bogons address=178.0.0.0/8 comment="" disabled=no
add list=bogons address=179.0.0.0/8 comment="" disabled=no
add list=bogons address=180.0.0.0/8 comment="" disabled=no
add list=bogons address=181.0.0.0/8 comment="" disabled=no
add list=bogons address=182.0.0.0/8 comment="" disabled=no
add list=bogons address=183.0.0.0/8 comment="" disabled=no
add list=bogons address=184.0.0.0/8 comment="" disabled=no
add list=bogons address=185.0.0.0/8 comment="" disabled=no
add list=bogons address=186.0.0.0/8 comment="" disabled=no
add list=bogons address=187.0.0.0/8 comment="" disabled=no
add list=bogons address=192.0.2.0/24 comment="" disabled=no
add list=bogons address=192.168.0.0/16 comment="" disabled=no
add list=bogons address=197.0.0.0/8 comment="" disabled=no
add list=bogons address=198.18.0.0/15 comment="" disabled=no
add list=bogons address=223.0.0.0/8 comment="" disabled=no Cymru предоставляет нам фид BGP, который мы затем фильтруем с помощью routing-mark, а затем, на основе этого списка, генерируем список адресов… запускается ежедневно, чтобы автоматически поддерживать их в актуальном состоянии. Сэм
19.12.2005 18:14:00, changeip.

Вредоносное ПО и скрипты богон.

Mon, 19 Dec 2005 10:32:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Да, и для тех, кто не знает, что такое "bogon": это термин, описывающий неиспользуемое адресное пространство в интернете. Так что трафик с исходными (или конечными) адресами из этих диапазонов не может быть легитимным и отсеивается провайдерами (к сожалению, не всеми, но многими). См. также Wikipedia.

С уважением,
Christian Meis
19.12.2005 10:32:00, cmit.

Вредоносное ПО и скрипты богон.

Mon, 19 Dec 2005 08:14:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
По поводу части вопроса про богонов: Я однажды написал небольшой скрипт на PERL для создания файла команд RouterOS. Он создавал цепочку брандмауэра "bogons", содержащую правила для отбрасывания пакетов от богонов. Прилагаю скрипт. Он написан для Windows (на Linux подкорректируйте строку she-bang для интерпретатора PERL). Он получает актуальный список богонов с http://www.completewhois.com и выводит несколько файлов. Каждый из них полный, разница только в количестве сетей, указанных в цепочке. Есть файл с результатом, включающий только сети /20 и больше, один для /19 и больше и так далее. До одного, включающего все перечисленные богоны, что создает около 7400 правил сегодня. Возьмите один (!) из созданных скриптов (в зависимости от того, насколько большой должна быть ваша цепочка фильтрации), загрузите его на ваш роутер (FTP/SCP) и выполните его как скрипт там. Это удалит любую существующую цепочку с именем «bogons», воссоздаст ее как пустую и заполнит правила… Будьте внимательны, что это всё еще генерирует 2.8 RouterOS синтаксис, если найду время, обновлю его и помещу в WiKi. #!c:/perl/bin/perl.exe

#################################################
## ##
## PERL скрипт для создания команд RouterOS для ##
## фильтрации богонов. ##
## ##
## © 2005 Christian Meis, info cmit.de ##
## Версия: 1.0 ##
## ##
#################################################

use LWP::Simple;

$ros_cmd_recreate_chain = ":foreach i in [/ip firewall rule bogons find] do={/ip firewall rule bogons remove \$i}\n/ip firewall remove [/ip firewall find name=bogons]\n/ip firewall add name=bogons comment=\"автоматически созданная цепочка фильтра BOGON\"\n/ip firewall rule bogons\n";
$ros_cmd_jump_back = "add action=return\n";

# Получаем список BOGON с www.completewhois.com и сохраняем его локально…
$BOGON = get 'http://www.completewhois.com/bogons/data/bogons-cidr-all.txt';
open(BOGON,">bogons.dat");
print BOGON $BOGON;
close(BOGON);

if (-s "bogons.dat") {
# успешно получен список BOGON - давайте продолжим…
open(BOGON,"bogons.dat");
open(SCRIPT_ALL,">bogons-routeros-chain_all.rsc");
open(SCRIPT_16,">bogons-routeros-chain_16up.rsc");
open(SCRIPT_17,">bogons-routeros-chain_17up.rsc");
open(SCRIPT_18,">bogons-routeros-chain_18up.rsc");
open(SCRIPT_19,">bogons-routeros-chain_19up.rsc");
open(SCRIPT_20,">bogons-routeros-chain_20up.rsc");
# начальные команды RouterOS для удаления цепочки "bogons" (если существует) и повторного создания ее (пустой)
print SCRIPT_ALL $ros_cmd_recreate_chain;
print SCRIPT_16 $ros_cmd_recreate_chain;
print SCRIPT_17 $ros_cmd_recreate_chain;
print SCRIPT_18 $ros_cmd_recreate_chain;
print SCRIPT_19 $ros_cmd_recreate_chain;
print SCRIPT_20 $ros_cmd_recreate_chain;
while ($netaddress = ) {
chomp($netaddress);
if ($netaddress =~ /^[0-9]+.*\/([0-9]+)$/) { # строка с netaddress - иначе это был комментарий или пустая строка
print SCRIPT_ALL "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n";
print SCRIPT_16 "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n" if ($1 <= 16);
print SCRIPT_17 "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n" if ($1 <= 17);
print SCRIPT_18 "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n" if ($1 <= 18);
print SCRIPT_19 "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n" if ($1 <= 19);
print SCRIPT_20 "add src-address=$netaddress out-interface=all action=drop comment=\"\" disabled=no\n" if ($1 <= 20);
}
}
# финальная команда RouterOS для возврата из цепочки bogons
print SCRIPT_ALL $ros_cmd_jump_back;
print SCRIPT_16 $ros_cmd_jump_back;
print SCRIPT_17 $ros_cmd_jump_back;
print SCRIPT_18 $ros_cmd_jump_back;
print SCRIPT_19 $ros_cmd_jump_back;
print SCRIPT_20 $ros_cmd_jump_back;

close(SCRIPT_ALL);
close(SCRIPT_16);
close(SCRIPT_17);
close(SCRIPT_18);
close(SCRIPT_19);
close(SCRIPT_20);
close(BOGON);
unlink "bogons.dat";
} Если кому-то это нужно, это также доступно в виде автономного исполняемого файла для Windows (для тех, у кого не установлен PERL). С наилучшими пожеланиями, Christian Meis
19.12.2005 08:14:00, cmit.

Вредоносное ПО и скрипты богон.

Mon, 19 Dec 2005 04:13:00 -0500

Вредоносное ПО и скрипты богон. RouterOS в форуме RouterOS.
Я знаю, что эти скрипты уже созданы и обновлены, но я их найти не могу. Мне нужны скрипты для добавления фильтров по вредоносному ПО и IP-адресам, которые считаются недействительными, на мои роутеры, и я их тоже не могу найти.
19.12.2005 04:13:00, kmullen.