Abuse- Sperrung des Hostingpakets

    Hallo liebe NetCup- Menschen...
    Hab seit 2 Tagen einen vRoot- Server und bin soweit sehr zufrieden. Heute jedoch bekam ich folgende E- Mail:


    wir haben folgende Abusemeldung f僡 Ihr Produkt v220101174144372 - easyV Lite vServer erhalten und bitten Sie um umgehende Stellungnahme an uns sowie den Absender der Meldung. Beachten Sie das wir jeglichen Abusemeldungen aus Grden der Sicherheit nachgehen m媠sen. Bei Ausbleiben einer Stellungsnahme oder wiederholtem vorkommen solcher Meldungen muss das betroffene Hostingprodukt ggf. gesperrt werden um weiteren Schaden zu vermeiden.


    Wir bitten um Ihr Verst鄚dnis.


    Abuse Meldung:



    Return-path: <scomp@aol.net>
    Envelope-to: abuse@hetzner.de
    Delivery-date: Wed, 24 Nov 2010 22:09:10 +0100
    Received: from [205.188.249.66] (helo=omr-d22.mx.aol.com)
    by lms.your-server.de with esmtp (Exim 4.69)
    (envelope-from <scomp@aol.net>)
    id 1PLMaT-0004dx-DV
    for abuse@hetzner.de; Wed, 24 Nov 2010 22:09:10 +0100
    Received: from scmp-m47.mail.aol.com (scmp-m47.mail.aol.com [172.21.139.225]) by
    omr-d22.mx.aol.com (v117.7) with ESMTP id MAILOMRD227-7d6b4ced7edd35f; Wed, 24 Nov 2010
    16:08:45 -0500
    Received: from scomp@aol.net by scmp-m47.mail.aol.com; Wed, 24 Nov 2010 16:08:42 EST
    To: abuse@hetzner.de
    From: scomp@aol.net
    Date: Wed, 24 Nov 2010 16:08:42 EST
    Subject: Email Feedback Report for IP 78.47.34.57
    MIME-Version: 1.0
    Content-Type: multipart/report; report-type=feedback-report;
    boundary=\"boundary-1138-29572-2659438-21527\"
    X-AOL-INRLY: static.57.34.47.78.clients.your-server.de [78.47.34.57] scmp-m47
    X-Loop: scomp
    X-AOL-IP: 172.21.139.225
    Message-ID: <201011241608.7d6b4ced7edd35f@omr-d22.mx.aol.com>
    X-Virus-Scanned: Clear (ClamAV 0.96/12316/Wed Nov 24 21:09:36 2010)
    X-Spam-Score: 3.7 (+++)
    Delivered-To: he1-abuse@hetzner.de


    --boundary-1138-29572-2659438-21527
    Content-Type: text/plain; charset=\"US-ASCII\"
    Content-Transfer-Encoding: 7bit


    This is an email abuse report for an email message with the message-id of
    845549937634.uhfzg9sp1dqa@pchome.com.tw received from IP address 78.47.34.57 on Wed, 24
    Nov 2010 12:03:01 -0500 (EST)


    For information, please review the top portion of the following page:
    http://postmaster.aol.com/tools/fbl.html


    For information about AOL E-mail guidelines, please see
    http://postmaster.aol.com/guidelines/


    If you would like to cancel or change the configuration for your FBL please use the tool
    located at:
    http://postmaster.aol.com/waters/fbl_change_form.html



    --boundary-1138-29572-2659438-21527
    Content-Disposition: inline
    Content-Type: message/feedback-report


    Feedback-Type: abuse
    User-Agent: AOL SComp
    Version: 0.1
    Received-Date: Wed, 24 Nov 2010 12:03:01 -0500 (EST)
    Source-IP: 78.47.34.57
    Reported-Domain: static.57.34.47.78.clients.your-server.de
    Redacted-Address: redacted
    Redacted-Address: redacted@



    --boundary-1138-29572-2659438-21527
    Content-Type: message/rfc822
    Content-Disposition: inline


    Return-Path: <nwrhag@pchome.com.tw>
    Received: from mtain-ma11.r1000.mx.aol.com (mtain-ma11.r1000.mx.aol.com [172.29.96.19]) by
    air-ma06.mail.aol.com (v129.4) with ESMTP id MAILINMA061-b5284ced459624d; Wed, 24 Nov 2010
    12:04:23 -0500
    Received: from static.57.34.47.78.clients.your-server.de
    (static.57.34.47.78.clients.your-server.de [78.47.34.57])
    by mtain-ma11.r1000.mx.aol.com (Internet Inbound) with SMTP id C3EEB380023B6;
    Wed, 24 Nov 2010 12:03:01 -0500 (EST)
    Received: from lnvzf.pchome.com.tw (gdftdg.pchome.com.tw [61.247.175.166]) by 78.47.34.57
    with SMTP id ujd287UN4Avjc3613;
    Wed, 01 Dec 2010 13:29:25 -0300
    Message-ID: <845549937634.uhfzg9sp1dqa@pchome.com.tw>
    Organization: Internet Mail Service (5.5.2650.21)
    From: \"＊＊我c敢發誓，這裡保證s最便宜＊＊ w\" <nwrhag@pchome.com.tw>
    Reply-To: \"＊＊我c敢發誓，這裡保證s最便宜＊＊ w\" <nwrhag@pchome.com.tw>
    To: redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com
    Subject: 專門販售,歐美日品牌情趣用品,真的很貼心喔!!!
    Date: Wed, 01 Dec 2010 11:34:25 -0500
    X-Mailer: Internet Mail Service (5.5.2650.21)
    MIME-Version: 1.0
    Content-Type: multipart/alternative;
    boundary=\"_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_\"
    x-aol-global-disposition: G
    x-aol-sid: 3039ac1d60134ced45450031
    X-AOL-IP: 78.47.34.57




    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_
    Content-Type: text/plain; charset=\"big5\"
    Content-Disposition: inline
    Content-Transfer-Encoding: quoted-printable




    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_
    Content-Type: text/html; charset=\"big5\"
    Content-Disposition: inline
    Content-Transfer-Encoding: quoted-printable


    <!DOCTYPE HTML PUBLIC \"-//W3C//DTD HTML 4.0 Transitional//EN\">
    <html>
    <body>
    <p>=A1@</p>
    <p>=A1@</p>
    <p><font color=3D\"#0000FF\" size=3D\"4\">
    <a href=3D\"http://b.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    =B1M=C0=E7=A4=E9=A5=BB=B1=A1=BD=EC=BA=EB=AB~=A7=E5=B5o=A1A=A4k=A9=CA=AB=C8=
    =AAA=A1A=B6W=B0=D3=A8=FA=B3f=A1A=B3f=A8=EC=A5I=B4=DA=A1C</a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#FF0000\" size=3D\"4\">
    <a href=3D\"http://da.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorat=
    ion: none\">
    <font color=3D\"#FF0000\">=B6R=B1=A1=BD=EC=A5=CE=AB~=C1=D9=A6=B3=B0e=BA=EB=
    =AC=FC=BC=FA=AB~=A1A=A6n=A6n=A8=C9=A8=FC=B0=B7=B1d=A1B=A9=AF=BA=D6=AA=BA=
    =A9=CA=A5=CD=AC=A1=A1C</font></a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#0000FF\" size=3D\"4\">
    <a href=3D\"http://e.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    =A8k=A5=CE=A6=DBX=AEM=A1B=AB=F6X=B4=CE=A1B=B8=F5X=A1B=B1=A1=BD=EC=A4=BA=A6=
    =E7!=AD=AD=B6q=BEP=B0=E2</a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#FF0000\" size=3D\"4\">
    <a href=3D\"http://t.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    <font color=3D\"#FF0000\">=A1=F8=A1=F8SM=B9D=A8=E3=A5=CE=AB~=A1B=BC=ED=B7=C6=
    =B2G=A1B=BF=DF=B8=CB=A1B=A8=A4=A6=E2=A7=EA=BAt...=B5=A5=B5=A5</font></a></=
    font></p>
    <p>=A1@</p>
    <p>=A1@</p>
    <p>=A1@</p>
    <p>=A1@</p>


    </body>


    </html>


    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_--



    --boundary-1138-29572-2659438-21527--


    Mit freundlichen Gr晧en


    Ihr netcup Team


    ----------------


    Ich muss gestehen, mir noch nicht all zu viele Gedanken über die Sicherheit gemacht zu haben. Natürlich hab ich alle möglichen Dienste deaktiviert, die ich nicht benötige, hab auch versucht, iptables einzusetzen, die jedoch dann zwecks mangelnder Berechtigung nicht aktiviert werden konnten. Hab nun einzelne Ports per Server- Firewall im vServerControlPanel gesperrt, jedoch geht es mir nicht ein, wie ein eigentlich "nackter" vServer zur Zielscheibe für (so vermute ich) SMTP- Einschleichdiebe werden kann.


    Habt ihr irgendwelche Tipps für einen Quereinsteiger, oder einen expliziten Lösungsansatz für mein Problemchen?


    Ich bitte euch, von Meldungen wie "scher dich zuerst um die Serversicherheit, bevor du den vRoot in Betrieb nimmst...", abzusehen, es ist mir durchaus klar, dass ich vor dem Produktiveinsatz noch einige Ports abwürgen und eine Firewall einrichten, bzw einige Bereiche absichern sollte...


    Danke im Voraus


    lg


    gbrunmayr

    Sichere sofort einmal alle Logs vom vServer und analysiere sie lokal, vorallem die vom Mailserver und Webserver. Um sicher zu gehen, dass keine weiteren E-Mails abgesendet werden, stoppe den Mailserver fürs erste einmal. Kontrolliere deine Mailserver Konfiguration und führe einen Open-Relay Check durch.


    Verwendest du irgendwelche PHP/Perl o.ä. Scripte bei deinem Webserver, die vielleicht unsicher sind und Mails versenden?


    Kontrolliere auch die laufenden Prozesse (top/htop/ps), aktive Verbindungen (netstat) und den Traffic Verbrauch im VCP.



    MfG Christian

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Hallo!


    Danke erstmal für die Rückmeldungen!


    Wie mache ich sie am besten dicht? Ich habs wie gesagt per iptables versucht, dies missglückte, wonach ich auf die Firewall im vServerControlPanel zurückgegriffen hab!


    Den Mailserverdienst hab ich natürlich sofort nach Erhalt der Mahnung abgewürgt...


    Hab die Logfiles mal analysiert, sie zeigen für besagten Zeitraum einerseits komische HTTP- Requests am Apache:



    und andererseits Aktivitäten von postfix:



    Allgemein fällt in der mail.log im 5- Minuten- Takt folgender Eintrag auf:


    Zitat

    Nov 25 15:56:00 v220101174144372 postfix/qmgr[28064]: 0FEFF1D1C44C: removed
    Nov 25 15:56:00 v220101174144372 postfix/qmgr[28064]: 145761D1C3A3: from=<root@v220101174144372.yourvserver.net>, size=833, nrcpt=1 (queue active)
    Nov 25 15:56:00 v220101174144372 postfix/pickup[28063]: 16CEE1D1C3BF: uid=0 from=<root>
    Nov 25 15:56:00 v220101174144372 postfix/cleanup[28065]: 16CEE1D1C3BF: message-id=<20101125155600.16CEE1D1C3BF@v220101174144372.yourvserver.net>
    Nov 25 15:56:00 v220101174144372 postfix/local[28068]: 145761D1C3A3: to=<root@v220101174144372.yourvserver.net>, orig_to=<root>, relay=local, delay=1859, delays=1859/0/0/0.01, dsn=2.0.0, status=sent (delivered to mailbox)

    Lässt sich damit irgendwas anfangen?


    Die einzigen PHP- Scripte die laufen sind Feedback- Formulare die per mail() den Inhalt versenden! Auch läuft ein phpbb Forum auf einer der Domains!


    Ein RelayCheck fällt negativ aus, so gesehen dürfte der SMTP Port fürs erste gesperrt sein. (Warum ist der generell offen bzw. ein SMTP vorinstalliert? bzw wie kann man diesen absichern?)


    Vielen Dank für die Analyse ;)


    lg


    gbrunmayr

    naja, den open relay test solltest du bei offenem smtp port versuchen ;)


    welches system hast du installiert? lenny mit syscp?
    also eines der von netcup vorkonfigurierten images?


    sicher, dass deine php scripte nicht missbraucht werden können?

    die Apache Logs sind OK, die Einträge hat jeder, die vom Mail allerdings nicht.


    Wenn Du den Maildienst dringend beenden musst, empfehle ich Dir, das mit killall zu tun, /etc/init.d hat bei mir schon versagt (dhcp-server lief trotz beenden immernoch)


    Einfach OUTPUT 25 verbieten in der vservercontrolpanelfirewall


    gruss ubuntu

    Von Interesse sind die Logs von 18:03 Uhr unserer Zeit ;)

    Zitat von gbrunmayr;27467

    Received-Date: Wed, 24 Nov 2010 12:03:01 -0500 (EST)
    Source-IP: 78.47.34.57


    Zitat von gbrunmayr;27467

    Received: from static.57.34.47.78.clients.your-server.de
    (static.57.34.47.78.clients.your-server.de [78.47.34.57])
    by mtain-ma11.r1000.mx.aol.com (Internet Inbound) with SMTP id C3EEB380023B6;
    Wed, 24 Nov 2010 12:03:01 -0500 (EST)

    gbrunmayr, bist du sicher das du mit einem Server klar kommst? Dein Mailingproblem ist nicht das einzige was an deinem Server fahrlässig falsch eingerichtet ist. Der offene Proxy ist zwar sicherlich nett gemeint, dürfte aber schnell rechtliche bzw. vor allem finanzielle Konsequenzen nach sich ziehen.

    "Security is like an onion - the more you dig in the more you want to cry"

    Zitat von vmk;27490

    gbrunmayr, bist du sicher das du mit einem Server klar kommst? Dein Mailingproblem ist nicht das einzige was an deinem Server fahrlässig falsch eingerichtet ist. Der offene Proxy ist zwar sicherlich nett gemeint, dürfte aber schnell rechtliche bzw. vor allem finanzielle Konsequenzen nach sich ziehen.


    Danke aber ich denke ich komme zurecht ;) Nach ein wenig Starthilfe sollte ich, nach 5 Jahren einschlägiger Ausbildung und ein wenig Interesse doch so weit sein, mit dem System umgehen zu können...


    Den Proxy sollt ich dann wohl doch lieber abschalten :D


    Hier noch ein Auszug aus dem apache Logfile, der interessant sein könnte:



    Ports 110 und 25 sind ein- und ausgehend geblockt...


    Ja es ist lenny mit syscp, womit ich fürs erste sehr zufrieden bin, auch wenn ich nicht in den Config- Files rumwurschteln kann, wies mir gefällt...


    Die PHP Scripte werd ich demnächst absichern und werde dann versuchen, den SMTP Server verschlüsselt wieder zu aktivieren...


    Das mit dem OpenRelay Check hab ich dann wohl falsch verstanden ;) Werd auch das noch testen...


    Danke


    lg


    gbrunmayr

    Zitat von gbrunmayr;27491

    Danke aber ich denke ich komme zurecht ;) Nach ein wenig Starthilfe sollte ich, nach 5 Jahren einschlägiger Ausbildung und ein wenig Interesse doch so weit sein, mit dem System umgehen zu können...
    [...]


    Hier noch ein Auszug aus dem apache Logfile, der interessant sein könnte:

    Code
    78.47.34.57 - - [25/Nov/2010:19:12:56 +0000] "GET /awstats HTTP/1.0" 404  264 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64;  Trident/4.0; chromeframe; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729;  .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; InfoPath.3)"


    *meld* *hüpf* Die IP ist böse, melde dich am besten gleich direkt an den netcup-Support, die kicken dann den vServer aus ihrem Netz ;)

    "Security is like an onion - the more you dig in the more you want to cry"

    thx übrigens für die info, war a bisserl blauäugig, zu denken, den proxy würd sunst niemand benutzen *g*
    in den 2 tagen wurde das access logfile vollgefüllt mit pornoseiten und ähnlichem *gg*