NetRange: 17.0.0.0 - 17.255.255.255
CIDR: 17.0.0.0/8
NetName: APPLE-WWNET
NetHandle: NET-17-0-0-0-1
Parent: ()
NetType: Direct Assignment
OriginAS:
Organization: Apple Inc. (APPLEC-1-Z)
RegDate: 1990-04-16
Updated: 2017-07-08
Ref: https://rdap.arin.net/registry/ip/17.0.0.0Holy cow.
Mein Problem ist ansich gelöst. Hab das nur als Aufhänger genommen mal in der Runde zu fragen was es noch so gibt und vielleicht den einen oder anderen Erfahrungsbericht bezüglich Load Balancing / Service Replicas außerhalb einer Cloud Umgebung zu bekommen.
Weil NGINX rock solid ist und alles konnte was ich benötigte hab ich mich halt nie wirklich umgesehen.
HAProxy und Caddy 2 sehen auch interessant aus.
Die Automatismen in Traefik sind allerdings auch großartig. Services ausrollen ohne das man am Reverse Proxy selbst Änderungen vornehmen muss.
Oder alternativ mittels ss, das sollte default bereits enthalten sein, da nicht deprecated. z.B. ss -aut
Weiß auch nicht, aber ich werd mit dem neuen Command nicht warm. Ich mag den Output nicht, der total unübersichtlich ist, und kann mir auch die Optionen nie merken... Deswegen installiert meine Ansible Infra immer noch auf allen Systemen net-tools....
Hört sich so an als ob Du TLS in Apache nicht aktiviert hast.
Sieht man in netstat -tulpen (Debian Package net-tools) ob ein Prozess auf Port 443 horcht?
<FilesMatch "^(about.php|radio.php|index.php|content.php|lock360.php|admin.php|wp-login.php|wp-l0gin.php|wp-theme.php|wp-scripts.php|wp-editor.php)$">
Order allow,deny
Allow from all
</FilesMatch>Das ist ein Ausschnitt aus der .htaccess die von der Malware geschrieben wird.
lock360.php und wp-l0gin.php sieht schon verdächtig aus.
Habe mir mal den Spaß gemacht das zu dekodieren.
Total abgedreht. Variablen Namen in Unicode Entities, Strings mit einer Kombination aus Base64 und GZIP kodiert, statt die Variablen direkt zu nutzen wird das $GLOBALS array benutzt, PHP Funktionsnamen werden aus einem String Zeichen für Zeichen via Substrings zusammen gesetzt. (Siehe dazu unweird.php/unweird.txt)
Da steckt definitiv eine Remote Execution Shell drin:
https://github.com/perryflynn/ran…ba4510a4d2a91dc
Gleichzeitig macht das Script irgendwas mit Google Sitemaps. Vielleicht eine Call-Home Funktion?
Dann wird da noch eine .htaccess Datei angelegt.
Der komplette Diff:
https://github.com/perryflynn/ran…5810e4...master
Das einigermaßen decodierte Malware Script:
Möchtest du uns vielleicht sagen was die Einschränkung genau ist?
Jap, sorry. Betriebsblindheit.
Ich bin darüber gestolpert, dass NGINX bei einem nicht existierenden Domain Name (NXDOMAIN) in einem server Statement innerhalb eines upstream {} Blocks schlicht abstürzt. Sprich startet NGINX bevor alle anderen Container online sind, schmiert der NGINX Container kurzerhand wieder ab.
Ebenso wenn NGINX redeployed wird, während einer der Service Container gerade gestört ist.
Lösung dafür ist das verlinkte resolver Statement, welches leider nur in der NGINX Plus Edition verfügbar ist.
Moin!
Die Tage bin ich über eine Einschränkung in NGINX gestolpert, die mich dazu gezwungen hat mich nach anderem umzusehen.
In einer älteren Umgebung, die aus Gründen kein Kubernetes oder "Native Cloud" erlaubt baue ich gerade ein Zero Downtime Setup (Updates ohne das der User etwas davon mitbekommt) und suchte dabei nach einem Reverse Proxy der eine dynamische Menge an Service Replikas verwalten kann.
Bin dann bei Traefik hängen geblieben, der Docker Container aber auch klassische Web-/Applicationserver bedienen kann.
Kennt jemand von euch noch Alternativen / anderen interessanten Kram den man sich mal anschauen sollte?
Viele Grüße
Christian
ZeroSSL: Das ist ne Eigenheit von acme.sh. Man kann das durch eine Option einfach ändern, dann nutzt der Client die Lets Encrypt CA.
Den Fehler würde ich wie im Output beschrieben mal debuggen.
Die Credentials kann man auch einfach vor dem acme.sh Command angeben:
NC_CID=421111 NC_ApiKey=foo ./acme.sh --issue ....Hab schon seit einigen Jahren eine Domain die für mein internes Netz genutzt wird. Via acme.sh hole ich mir für diese Domain ein Wildcard Zertifikat was via Ansible auf alle Systeme verteilt wird welche ich lokal laufen habe. Funktioniert problemlos.
Damit das Ganze funktioniert gibts entsprechende DNS Overrides in meinem lokalen DNS Server. Habe damals mit einem einfachen Override im DNS von OPNSense/OpenWRT/DD-WRT Router angefangen, mittlerweile habe ich entweder einen pihole (wo man auch DNS Overrides machen kann) oder einen bind9 an allen Locations laufen.
Wenn es sich um einen Dienst handelt der auch im Internet erreichbar ist löst mein lokaler DNS die Domain auf die lokale IP auf und der öffentliche DNS zeigt via CNAME auf meine DynDNS Domain des Internet Anschlusses.
Das Control Panel mit dem die Control Panels verwaltet werden.
Kannst Du ja trotzdem. PRs gehen ja immer. 
Na ist schon die Luft aus dem Projekt bevor es richtig angefangen hat? ?
Ultrakurzzeit Server-Handel
Hochfrequenzserverhandel! Sag das 5 Mal schnell hintereinander.
So, ein Kamikaze deployment ist schon mal fertig:
https://serverhoarder.github.io/
Alles weitere im GitHub Ticket.
BTW wie wollen wir das ganze koordinieren?
Repo gibts ja schon, das erste Ticket ist da auch schon angelegt. Wir sollten da auch die Koordinierung machen.
100te verschiedene Repos würde ich vermeiden, lieber einen Tracker und da sauber mit Tags und Milestones arbeiten.
Da sonst niemand HIER geschriehen hat werde ich das Skeleton anlegen und bis Morgen Abend irgendwann ins Repo pushen.
Ich würde das Wiki generisch halten und die Artikel mit entsprechenden Tags bzw Provider-Spezifischen Kapiteln versehen.
Außerdem würde ich vorschlagen, dass wir einfach erstmal anfangen und später, wenn das offizielle Wiki wieder fahrt aufnimmt, kann man ja darauf verlinken.
Das wir über netcup Produkte schreiben kann ja niemand wirklich verhindern.
Maximal würde ich auf einer About-Seite auf dieses Forum verlinken und ansonsten in den Beiträgen immer providerspezifisch nüchtern die Tatsachen beschreiben.
Ich persönlich habe eine ganze Palette an anderen Anbietern wo ich was zu schreiben kann und will.
Das ist ein bisschen Dumm bei GitHub. Man muss auf die Org Seite gehen, da steht der Invite oben drüber:
