CheckPoint

问题：

CheckPoint NGX R65 SmartDefense Update以后，会阻止DCE-RPC，导致金蝶（Kingdee）客户端无法连接。

日志：

Attack Name: DCE-RPC Enforcement Violation
Attack Information: UUID is not allowed through the Rule Base

解决：

Solution
In the SmartDefense settings, select the DCOM option found under MS-RPC in Application Intelligence. Check the box that says “Allow DCE-RPC interfaces other than End-Point Mapper (such as DCOM) on port 135″ and then push the policy to the affected module.

参考：

Solution ID: sk41208

https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk41208

故障: By REISTLIN [雷斯林]

CheckPoint install policy 报错信息如下:

原因: By REISTLIN [雷斯林]

“C:\WINDOWS\FW1\R61\fw1\lib\base.def” line 383:
ERROR: cannot find <ADP_RPC_OVER_CIFS_MATCH> anywhere

“C:\WINDOWS\FW1\R61\fw1\lib\base.def” line 440:
ERROR: unknown macro or function <spii_record_conn_match>

“C:\WINDOWS\FW\R61\fw1\libcrypt.def” line 257:
ERROR: unknown macro or function <RECORD_CONN_EX>

“C:\WINDOWS\FW\R61\fw1\conf\Standard.pf” line 9370:
ERROR: parse error

“C:\WINDOWS\FW\R61\fw1\conf\Standard.pf” line 9371:
function <gtalk_ssl_proto_block_code> undefined

如果在 Windows 平台上安装 SmartCenter 不是使用缺省路径安装.
或者 CheckPoint Gateway 与 SmartCenter 的 SmartDefense 特征库不一致.
就会报错: CheckPoint SmartCenter 无法调用 macro 和 function 错误.

解决: By REISTLIN [雷斯林]

1. 确认 SmartCenter 安装目录为系统默认路径.

Install into default directory: C:\WINDOWS\FW\R61

2. 登录 SmartDashboard 选择 SmartDefense Services 标签. Download Update 升级.

Web Visualization 可以将 CheckPoint SmartCenter 服务器中的安全策略和安全对象.导出成可读性良好的文本 (Html/Xml) 格式.这是一种基于对 SmartCenter 服务器数据库的快照模式.可以使安全管理/审计员/任何人在任何时间.不需要实时连接到 SmartCenter 服务器来查看安全策略和安全对象.

测试的防火墙环境: CheckPoint NGX 6.0 (OS: Windows 2003)
受保护应用服务器: Win2003 + ASP + FSO + DATABASE
测试木马: 海洋顶端ASP木马2005 / 2006 (已上传到应用服务器)
测试目标: 防止Webshell脚本的运行.保护服务器应用层安全.

解决方案: 使用CheckPoint WebIntelligence与Resource URI结合.

1. 新建立一个Resource对象，Resources -> New -> URI：

2. 命名为Block_URL，General属性如下图：

选择合适的连接类型，如包含Transparent和Proxy方法，并且追踪到Log日志里。

3．Match方法选择后端服务器环境的方法，如Http,Ftp等。
方法选中GET，POST，HEAD等类型。

研究海洋顶端ASP木马后得到关键Query字段如：FSO，STREAM，WEBSHELL，CMD等。使用合适合理的通配符给予关联，使用正则表达式给予判断。注意，此处设置需要结合防火墙后端应用服务器环境做合理的调整，保证正常应用的运行。

4. 选择动作为剥离高风险的代码Tags，使ASP木马无法正常运行，如SCRIPT，JAVA，APPLET，ACTIVEX等等，并且过滤JAVA CODE，转发地址为：about:blank 空。

5. 新建策略，源为任意地址，目标为Web_Server服务器，服务增加为：“Add whit Resource”

6. 增加Http服务与刚才建立好的名为Block_URL的URI所关联。

实际环境中请选择自己合适的服务与协议关联，此处可按需要灵活设置。

访问FSO木马首页，威胁脚本被剥离后的破碎页面，无法进行木马操作。

尝试使用木马上传文件，无法进行木马操作。

访问FSO控制页面，威胁脚本被剥离后的破碎页面，无法进行木马操作。

尝试编辑和修改磁盘文件，提示JAVASCRIPT破损，网页显示错误，操作失败。

下载地址: [CheckPoint NGX Anti ASP Shell]

[By Box.net Reistlin Shared]

作者: By REISTLIN [雷斯林] MSN: Rexxxxxx@hotmail.com QQ: 3A984
版权: 原创文章.转载请保留作者信息和原文完整.谢绝任何方式的摘要.

问题: CheckPoint License too many hosts?

环境: CheckPoint NGX R60 HFA03 for Nokia IP380

解决方法:

// 查看Lisence许可用户数
fw lichosts

// 停止防火墙
cpstop

// 进入防火墙安装目录下的 Database 文件夹
cd $FWDIR/database

// 删除 fwd.h 和 fwd.hosts 这两个文件
rm -r fwd.h fwd.hosts

// 启动防火墙
cpstart

// 使用 fw tab 命令.说明附后.
fw tab -t host_table -x

The fw tab command enables you to view kernel table contents and change them. “-t <tables>” Specifies a table for the command. “-x, -a, -e” It is possible to add or remove an entry from an existing dynamic table by using the -a or the -x flags.

参考资料:

use “fw lichosts” to see what you have spent your licenses on.
The comment to rm $FWDIR/database/fwd.h & $FWDIR/database/fwd.hosts was on target if you simply wanted to clear your license count.

That’s probably a good idea to start.then run “fw lichosts” and look for addresses that are not internal to your network.  If you have external addresses in that list. you’ve probably got something misconfigured.