Eingehende Verbindung über anderen Port tunneln?

[worel]

Hallo!

Ich frage mich schon seit einiger Zeit ob folgendes möglich ist:

Ein Server läuft mit ein paar offenen Ports in ner DMZ (oder irgendwo hinter einer Firewall).
Die (externe) Firewall lässt nur den Port 80 auf diesen Server zu. Der Zugriff ist also auf diesen Port beschränkt. Aktiv sind zwar noch mehrere andere Ports, aber per Firewall auf den 80er eingeschränkt.

Ist es nun möglich, dass jemand über diesen Port 80 von außen Verbindungen drübertunnelt und so auf einen anderen Port kommt als eigentlich zugelassen ist (ssh, smtp oder ähnlich)

Sind da irgendwelche Methoden bekannt?
Das tunneln von Verbindungen von innen nach außen ist ja kein Problem (httptunnel usw.)
Aber geht das auch irgendwie von außen nach innen? (ich hoffe nicht...)

 

[max93]

Das tunneln von Verbindungen von innen nach außen ist ja kein Problem (httptunnel usw.)
Aber geht das auch irgendwie von außen nach innen? (ich hoffe nicht...)

Nein.

Ins Paket kannst du ja nur reinschreiben: Schicks an IP A.B.C.D, Port 80. Da gibts bei TCP/IP und UDP/IP nichts zu interpretieren.

Ciao.
Markus
];-)

 

[soul_rebel]

Außer natürlich der Angreifer schafft es einen anderen Rechner in der DMZ zu komprimitieren, dann kann er über den auf einen anderen Zielport tunneln.

 

[troll]

Ist es nun möglich, dass jemand über diesen Port 80 von außen Verbindungen drübertunnelt und so auf einen anderen Port kommt als eigentlich zugelassen ist (ssh, smtp oder ähnlich)

So lange alles in Ordnung ist - nein.
Ansonsten - ja. Auf Port 80 wird scharweinlich ein httpd lauern. Das mögliche Einfallstor lautet also httpd oder Webanwendung.

 

[worel]

Ok, dass die Anwendung dahinter natürlich keine Lücken haben darf ist klar.
Ein "Umweg" über den evtl. verwundbaren Nachbarserver in der gleichen DMZ wäre auch möglich, das is auch klar.

Aber so wie die Antworten bis jetzt kamen ist ein direktes pipen auf einen anderen Port als der auf der Firewall freigegebenen (von außen nach innen) nicht möglich.

Dachte ich hatte da mal was gelesen, hab mich wohl geirrt. Gut so ;-)

Hatte persönlich mit diesem Szenario auch noch nie Probleme, zumindest keine die aufgefallen wären.