[安全问题] 允许来自局域网连接 + 绕过局域网连接 about shadowsocksr-csharp HOT 10 OPEN

需要的话应该可以自定义PAC来屏蔽127

但是开启“允许局域网的连接”本来就是不安全的

另外，国内毒瘤本来就不应该丢上代理吧。开着SS/SSR/SSRR用国内毒瘤，“你也有责任吧”。

from shadowsocksr-csharp.

@Akkariiin
代理模式选择 直连模式，局域网过来的连接还会经过PAC过滤吗

你理解错了，并没有把本地软件丢上代理，浏览器通过 Omega 配置的，没有开启系统代理
这个场景的问题在于，QQ在本机开启一个快速登录的服务（已查证只允许127地址），而局域网的连接到达本机后，绕过局域网变成以本机的IP去访问，使得验证成功

确实是 “允许局域网的连接” 带来的安全问题，我认为局域网过来的连接，应该禁止访问本机的，或者应该更进一步，全局转发到远程服务器，避免使用本机IP进行通讯

from shadowsocksr-csharp.

这个问题的重现场景我明白。
我的意思是，你可以选自定义PAC模式来定制地解决这个问题。

另外我记得全局模式下127是会被发到服务器上去的呀？不然服务器也不会默认阻止访问127。
只有绕过模式才会直连127。请再确认一下你使用的模式。

from shadowsocksr-csharp.

@Akkariiin "代理规则"是选的绕过局域网，才触发的

是“代理规则”，不是"系统代理模式"

另外 系统代理模式，PAC，代理规则，单纯看名字确实特别容易混淆

from shadowsocksr-csharp.

按代理设计说，127这些本地访问，无论代理c本身，还是（c就不应该转发）转发到s端，都不应该在c或s端予以访问本地 ip 段（包括 169.254 的ip段）的能力。如果说至今ss和ssr还有这个漏洞，的确相当严重。@ZSkycat

from shadowsocksr-csharp.

@Justsoos 也就是说，服务端解析域名的地址是局域网IP时，也需要进行屏蔽处理

from shadowsocksr-csharp.

局域网不至于完全禁止，但允许代理节点访问节点本地端口，其实就是一种提权漏洞。

from shadowsocksr-csharp.

@Justsoos
如果要实现禁止客户端的局域网传入并到127的连接从客户端直接传出的功能的话，就要区分到底是本地传入还是局域网传入。
要么就在客户端直接禁止所有到127的访问？

from shadowsocksr-csharp.

@Akkariiin 我觉得吧，应该禁止所有到127的访问，包括远程服务端

from shadowsocksr-csharp.

可以自己编写规则来实现这个功能

from shadowsocksr-csharp.