Angriff auf Apache/froxlor seit nunmehr 12 h

    Hi Leute,
    so langsam mache ich mir Sorgen
    denn bisher war ich verschont von
    solchen größeren Sachen.
    seit ca 2:00 Uhr wird mein Server
    von vielen versch. IPs angegriffen
    auszugsweise aus der fail2ban.log
    nurmal die letzte Stunde:


    die Auszüge aus der auth.log(sehr kurz da ja immergleich nur mit anderen Namen)
    werdet ihr sicher kennen:

    Code
    Dec  7 14:57:45 v2201010XXXXXXXX postfix/smtpd[6731]: sql plugin doing query SELECT password FROM mail_users WHERE username='catherine@v2201010XXXXXXXX.yourvserver.net' OR email='catherine@v2201010XXXXXXXX.yourvserver.net';
Dec  7 14:57:45 v2201010XXXXXXXX postfix/smtpd[6731]: sql plugin doing query SELECT password FROM mail_users WHERE username='catherine@v2201010XXXXXXXX.yourvserver.net' OR email='catherine@v2201010XXXXXXXX.yourvserver.net';
Dec  7 15:00:12 v2201010XXXXXXXX postfix/smtpd[7849]: sql plugin doing query SELECT password FROM mail_users WHERE username='jeffrey@v2201010XXXXXXXX.yourvserver.net' OR email='jeffrey@v2201010XXXXXXX.yourvserver.net';


    So nun meine Frage:
    Wie gefährlich ist das nun und welche Gegenmassnahmen kann ich unternehmen,
    damit das aufhört?
    bzw. WAs kann ich machen damit alles sicher ist/bleibt?
    momentan denke ich dran der server zu stoppen
    bisher scheint fail2ban ja zuverlässig zu arbeiten aber wie hier schon öfter
    zu Lesen war , setzt die FW ja manchmal aus.
    var/www ist über htaccess geschützt
    sowie nur über https zu erreichen

    It's me, only me, pure michi 🦆

    RS 1000 SAS G8 | Cyber Quack

    VPS: 50 G7 |B Ostern 2017|200 | Karneval | piko

    WH: SmallEi | Adv17 Family |4000 SE|1000 SE

    Wieso entsperrst du eine IP so schnell? Man sieht ja in deinem Log direkt, dass die IP direkt danach wieder auf deinen Server zugreift und gesperrt wird.


    Wenn du keine internationalen Kunden hast, dann würde ich einfach den entsprechenden kompletten IP-Range sperren. Entweder per Firewall oder direkt in der Apache-Konfiguration wenn die Firewall von Netcup irgendwo ein Limit für die Anzahl der Einträge haben sollte.


    Alternativ kannst du auch Gegenmaßnahmen ergreifen. Eine Möglichkeit wäre per .htaccess eine Umleitung auf eine eigene, spezielle php-Seite zu schalten. Bei mir hat das ein paar Bots/Was-auch-immer gut vergrault.


    Quick&Dirty:


    edit: Achtung, obiges Skript kann Traffik verursachen! Im Zweifelsfall in Zeile 10 länger bzw. öfter Schlafen und/oder Zeile 12 anpassen damit die Angreifer verhungern.

    "Security is like an onion - the more you dig in the more you want to cry"

    danke für die schnelle Antwort
    die Sperre von 10 min ist noch standard und hat bisher immer gereicht
    aber ich werde erstmal die Zeit verlängern.
    Leider habe ich internationale Kunden, sodass dein 2ter Vorschlag etwas schwierig wird.


    Da du dein script hier gepostet hast , denke , darf
    ich das auch benutzen. Also werd ich das auch mal einbauen


    michi

    It's me, only me, pure michi 🦆

    RS 1000 SAS G8 | Cyber Quack

    VPS: 50 G7 |B Ostern 2017|200 | Karneval | piko

    WH: SmallEi | Adv17 Family |4000 SE|1000 SE

    btw, file2ban konnte doch auch Angriffe weitermelden und so eine globale Blockliste beziehen. Weiß nicht wie sinnvoll diese ist, aber die könnte man dem Apache auch noch *statisch* (d.h. nicht per .htaccess) unterjubeln. Wobei das Problem ja ist, dass deine Angreifer aus DialUp-Netzen kommen. Die werden also ständig ihre IP ändern.

    "Security is like an onion - the more you dig in the more you want to cry"

    Zitat von vmk

    btw, file2ban konnte doch auch Angriffe weitermelden und so eine globale Blockliste beziehen. Weiß nicht wie sinnvoll diese ist, aber die könnte man dem Apache auch noch *statisch* (d.h. nicht per .htaccess) unterjubeln. Wobei das Problem ja ist, dass deine Angreifer aus DialUp-Netzen kommen. Die werden also ständig ihre IP ändern.


    oha ?(
    dazu müsste ich aber Hilfe haben

    It's me, only me, pure michi 🦆

    RS 1000 SAS G8 | Cyber Quack

    VPS: 50 G7 |B Ostern 2017|200 | Karneval | piko

    WH: SmallEi | Adv17 Family |4000 SE|1000 SE

    Ich würde sagen, die IPs einfach einen tag lang sperren (fail2ban entsprechend konfigurieren, neustart nicht vergessen (dauert lange, da erst alle regeln via SOAP gelöscht werden müssen)) und schauen was sich so an IPs in der Firewall sammelt. Fallen dir Ähnlichkeiten auf, dann einfach den Range kicken. Halt heute mal noch etwas genauer nachsehen.


    Ansonsten hast du hier listen für das sperren mittels htaccess:
    www.blocklist.de -- Export all Attacker-IPs from the last 48 Hours.
    Und hier die Anweisung für die htaccess:
    Website vor unliebsamen Besuchern schützen mittels htaccess
    Das ist aber imo eher unnötig und unperformant


    Eine wirkliche Gefahr sollten die Angriffe aber nicht darstellen, sofern dein server richtig konfiguriert ist.

    danke für die Links
    werde ich mir sofort ansehen


    24h blocken ist eher schwierig
    weil irgendwann die FW voll würde

    It's me, only me, pure michi 🦆

    RS 1000 SAS G8 | Cyber Quack

    VPS: 50 G7 |B Ostern 2017|200 | Karneval | piko

    WH: SmallEi | Adv17 Family |4000 SE|1000 SE

    moin,
    ja stimmt hab ich gestern beim googlen dann auch festegestellt :rolleyes:
    aber da immer auf die syscp db zugegriffen wurde , bin ich von froxlor
    und somit Apache ausgegangen.


    Danke für die Richtigstellung ;)


    Achja ,
    die Zugriffe haben aufgehört als ich die Blockzeiten deutlich verlängert hatte

    It's me, only me, pure michi 🦆

    RS 1000 SAS G8 | Cyber Quack

    VPS: 50 G7 |B Ostern 2017|200 | Karneval | piko

    WH: SmallEi | Adv17 Family |4000 SE|1000 SE