Исходное сообщение
"Универсальный способ DoS-атаки, затрагивающий PHP, Java, Rub..." Отправлено фклфт, 30-Дек-11 15:29
>> интересно, а те хеши, которые используются в iptables/conntrack, тоже уязвимы? > В хэш netfilter произвольное значение не передать, там жестко структурированные значения, > типа ip и номера порта. Вы не поверите но я уже несколько раз за последние года 4 у себя в логах замечал попытку добавления правила на фаере, с тех пор как первый раз это заметил теперь стоит полный запрет на добавление изменение правил iptables - все идет только через конфиг во время загрузки Конечно не удобно, что бы добавить или удалить правило на фаере приходится менять конфиг и ребутить сервак, за то надежно Если у вас болье менее посещаемый сервер то сделайти полное логирование всего что происходит, не удивлюсь что у вас типа сами по себе добавляются/удаляются правила Кстати не надо забывать про то что несколько месяцев назад нашли багу в апаче благодаря которой можно было через веб гулять по всей корпоративной сети, тут с iptables примерно тоже самое только в реализации nat_iptables