Proxyserver "durchtunneln"?

[Illusion]

Huhu DP!

An meiner Schule gibts ein durchdachtes Internet-System: Einzelne PC's im Netzwerk (jeder Schüler wie auch Lehrer besitzt eigene Benutzerdaten am Proxyserver daher kann das sehr gezielt geregelt werden) oder ganze Klassenräume können wahlweise freigeschalten werden. In den Pausen ist Internet für alle PC's offen. Das ganze läuft über einen Proxy Server auf Port 3128. Nach dem Läuten bekommt man mit Webbrowsern nur noch Fehlermeldungen betreffend fehlenden Zugriffsrechten rein.

Jetzt hab ich gehört das es in einer Nebenklasse gelungen ist ICQ auch während der Stunde weiter zu benutzen wenn man sich in der Pause eingeloggt hat. Mir ist eingefallen das ICQ ja zum Einloggen und zur normalen Übertragung der Nachrichten verschiedene Ports benutzt. Glaube das der Proxy nur bestimmte Ports sperrt und da ist mir die Idee gekommen einfach die Pakete von Webseiten über einen anderen Port durchzuschleifen?

Hab mir jetzt mal die Wikipedia-Seite zu Socks 5 durchgelesen aber fürchte das krieg ich mit meinen Delphi-Sockets nicht hin, könntet ihr mir weiterhelfen? Jaaah, ich weiß, die Delphi-Sockets sind sehr umständlich aber ich hab sie bisher gut benutzen können für Chats, oder auch in Verwendung von HTTP und FTP bin ich sehr gut mit ihnen zurecht gekommen. Ich fühl mich sicherer wenn ich genau sehe was mein Code macht.

Zu den Motivationsgründen meiner Anstrengungen - nun, Sinn meines Schulbesuchs ists sicher nicht Sicherheitslücken im Schulsystem zu finden xD - ich sehs in erster Linie als Herausforderung und hoffe damit auch mein netzwerktechnisches Wissen bisschen erweitern zu können.

Hoffe ihr könnt mir paar Tipps geben wie ich das anpacken könnte!

[Bernhard Geyer]

In einer der letzten c't stand ein Artikel wie diverse Systeme wie Skype löcher in Firewalls "schießen" und welche neue Herausforderungen damit auf Administratoren zukommen. Evtl. hilft dir das

[STS301]

bei mir in der Schule funktioniert Skype einwandfrei(trotz fortiguard), frag einmal Strahlex, der hat einmal einen ProxyChanger erstellt, mit dem es beim Proxy funktioniert

[Illusion]

@ Bernhard: Weißt du zufällig welche Ausgabe das war? Im c't-Archiv war der letzte Bericht betreffend Skype im Zusammenhang mit Sicherheit im 7/2007er Heft und das ist ja nicht mehr "eine der letzten"?

@ Sebastian: Na jetzt bin ich aber schon gespannt was Skype da anstellt.. hehe. Danke für den Hinweis, werde gleich morgen mal austesten.

[Daniel]

Im Hinblick auf die nächste Pisa-Studie wäre es mir lieber, wenn Ihr dem Unterricht folgen würdet. Trotzdem ist eine Diskussion möglicher Tunnel-Techniken sowie den dazu passenden Abwehr-Mechanismen aus softwaretechnischer Sicht durchaus interessant.

[generic]

Der Proxy wird jede Verbindung blocken.
Das heisst du musst den Proxy umgehen.

Wenn das Netz nicht klug eingerichtet ist, brauchst du nur das Gateway finden und die Route dahin setzen.
Wenn das Gateway der Proxy ist, schon schwieriger.
Dann macht diese alle Ports dicht und lässt nur die Proxy anfragen durch.

Vieleicht hat der Proxy einen Bug, welche bestehende Verbindungen, welche in der Pause aufgebaut wurden, nicht trennt.

Dann ist es einfach, Verbindung aufbauen und auf keinen Fall wieder abbauen.
ICQ müsste dann über diese HTTP Proxy mit Keepalive weiterlaufen.

[Mao]

Betreffender Artikel auf Heise Security

[Namenloser]

Zitat von Daniel:

Im Hinblick auf die nächste Pisa-Studie wäre es mir lieber, wenn Ihr dem Unterricht folgen würdet. Trotzdem ist eine Diskussion möglicher Tunnel-Techniken sowie den dazu passenden Abwehr-Mechanismen aus softwaretechnischer Sicht durchaus interessant.

Ach, aus eigener Erfahrung kann ich dazu sagen, dass die Regierung alles tut, damit die nächste Studie toll wird: Die Aufgaben waren KRANK einfach. Eine bestand darin, Werte aus einer Tabelle rauszuschreiben. Trau keiner Statistik, die du nicht selbst gefälscht hast.

Btw: Ihr habt wirklich großzügige Administratoren, dass ihr in den Pausen an die Rechner dürft. Unserer ist so paranoid, dass man nicht mal nen Rechtsklick im Explorer ausführen darf. Einmal hatte ich für Informatik eine Hausaufgabe auf meinen Webspace hochgeladen: Was hab ich herausgefunden? Der Proxy erlaubt mir nicht mal, ein Zip-Archiv runterzuladen

[Illusion]

@ generic: Glaube mit der Vermutung hast du einen Volltreffer gelandet, hab mit Wireshark nachgeschaut mit welchen IP's ICQ kommuniziert, ist beim versenden von Nachrichten immer nur 64.x.x.x, mit diesem Server wird die Verbindung nie getrennt und scheinbar auch nicht nachdems losgeklingelt hat.

Wenn dieser Bug Fakt ist, dann stellt sich die Frage wie ich an Websites komme? Ein Proxy nach dem Schulproxy? Das wäre zwar immer die gleiche IP aber die Verbindung würde sich neu aufbauen. Andere Idee wäre mittels Remote-Desktop einfach zu mir nach Hause zu gehn und so an die Websites zu kommen, wäre allerdings nicht sehr elegant (abgesehen davon das ich garnicht wüsste wie ich einen Proxy bei meinen Programmen zwischenschalte)..

Würdest du das mit den Gateway nochmal genauer erklären? Wie kann ich den Gateway vom Proxy unterscheiden bzw wie komm ich drauf wer was macht?

Fettes DANKE an euch alle, wird ja richtig spannend hier!

[Mao]

Ich würde es evtl. so lösen:
Einen Proxy auf dem Client, den du in den Browser-Einstellungen einträgst und der wiederum "draußen" mit einem anderen Proxy verbunden ist. Du könntest dir ja dein Proxy<->Proxy-Protokoll so auslegen, dass die Verbindung nach draußen nie getrennt wird.
Bsp: Browser sendet Anfrage zum Proxy auf Google zu surfen. Der Client-Proxy würde über seine permanente Verbindung zum Partner außerhalb des Schulnetzes eine entsprechende Anfrage weiterleiten. Proxy außerhalb bastelt sich wieder seine Anfrage zu recht und reicht sie an den eigentlichen Bestimmungsort weiter.

Ist mir jetzt jedenfalls so in den Sinn gekommen