Beiträge von My1

  • Stealth Prozesse in Wordfence ordner?

    Hallo,

    ich habe heute eine abusemeldung bekommen dass angeblich irgendwelche "stealth-prozesse" auf meinem test-wordpress laufen, dass ich kürzlich via Wordfence abgesichert habe

    und zum einem gibts eine lange liste mit IP zeug und zum anderem eine liste von dateien die irgendwelches zeug machen (das ich ganz ehrlich nicht komplett verstehe), aber da wird der ordner von Wordfence erwähnt (wflogs), ich bin mir ganz ehrlich nicht ganz sicher was da los ist, ich hab das ding mit wordfence kürzlich aufgeräumt und 2FA angemacht und so weiter, sodass eigentlich das ja abgesichert sein sollte.

    ganz ehrlich ich weiß auch nicht was da los sein soll? vor allem weil es meinen main blog scheinbar gar nicht betrifft, der ja auch wordfence drauf hat.

    was mich eben falls wundert ist dass die quelladressen die IPv6 sind nicht von mir sind (meine hat 89ee im 4. block)

    dazu wäre es mal echt nett wenn netcup nicht gleich alles zu machen würde bei nem abuse, sondern nur betroffene domains oder so.

    was sollte man da am besten machen? das ding einfach niederbrennen und neu machen?

    Spoiler anzeigen
    Code
    COMMAND    PID          USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
mwebp_64 18992 hostingXXXXXX    5u  IPv4 1323492481      0t0  TCP 91.204.46.61:46434->31.22.2.93:https (SYN_SENT)
mwebp_64 18992 hostingXXXXXX   15u  IPv4 1323476517      0t0  TCP 91.204.46.61:54208->213.186.33.2:http (SYN_SENT)
mwebp_64 18992 hostingXXXXXX   16u  IPv4 1323487634      0t0  TCP 91.204.46.61:35446->178.62.45.113:https (ESTABLISHED)
mwebp_64 18992 hostingXXXXXX   17u  IPv4 1323481863      0t0  TCP 91.204.46.61:36570->87.98.154.146:https (SYN_SENT)
mwebp_64 18992 hostingXXXXXX   18u  IPv4 1323520350      0t0  TCP 91.204.46.61:37506->148.72.8.193:https (ESTABLISHED)
mwebp_64 18992 hostingXXXXXX   19u  IPv4 1323485353      0t0  TCP 91.204.46.61:54182->198.54.126.24:https (SYN_SENT)
mwebp_64 18992 hostingXXXXXX   21u  IPv6 1323486575      0t0  TCP [2a03:4000:30:a517::14:2841]:45518->[2606:4700:3031::681b:b598]:https (ESTABLISHED)

    und VIEL mehr, aber der post wird zu lang.

    (auch lol scheinbar werden hier domains zensiert dass man nciht mal logs sinnvoll posten kann

  • Mails alle weg? Domainumzug

    es gab aber noch nicht immer eine Warnung. als ich eine externe Domain bei einem Netcup konto hatte das ich verwalte, und diese dann bei einem anderem konto einspielen wollte gab es bei der löschung der domain aus den externen keine hinweise, keine sicherheitsabfragen GAR NICHTS.

    einfach nur klick, warten, weg, fand ich nicht schön.

    war kein wirklicher schaden entstanden, aber es war halt schon doof.

    Ich habe noch das Video vom Februar, das ich an den support sendete.

    es wurde kein tarif oder nichts gekündigt, nur die domain abgezogen. ich ging davon aus dass ich erst die domain schieben kann da das eh dauert und in der zwischenzeit dann die daten via SFTP übertragen kann, nope, nix is

    Edit: keine ahnung ob es dort jetzt eine abfrage gibt, eine vorwarnung wie oben gezeigt gibts jedenfalls bei externen domains aktuell scheinbar nicht und ich werde es nicht nochmal extra probieren

    Edit 2: ich fände es ja nett wenn netcup via script vor dem löschen die daten einfach mal alle flott exportiert und im hostingroot (nicht document root lol) ablegt, einfach weils nett ist

  • DNS Einstellungen

    gibts zu dem sinnvolle updates? das problem ist der ist ja ne ganze ecke vor der 2119 wo die wortwahl standardisiert wurde. (sieht man auch daran dass "may" kleingeschrieben ist)

    damals galt wahrscheinlich eher normales englisch.

    und wenn man da mal den folgendenden satz baut:

    "You may cache the record for X seconds"

    zu deutsch:

    "du darfst den record für X sekunden zwischenspeichern".

    das klingt für mich nach ner Maximumforderung, selbst nach 2119 w+rde ich denken dass es ein "solange oder gar nicht" ist.

    damit wäre normal eher gemeint cache solange oder lass es und nicht cache in die ewigkeit.

    die einzige sichere lösung ist wahrscheinlich ein update das das genauer fasst, denn ich finde das unendlich cachen von DNS zeug auch doof

  • DNSSEC und DANE per default!

    Zitat von m_ueberall

    Sofern man selbst SSHFP-Einträge im CCP für die dort verwalteten Domänen anlegt, sieht man die key fingerprints dort ja auch; verwendet man nicht-öffentliche Einträge/eigene Nameserver, lassen sich diese zumindest explizit manuell abfragen:

    und wo soll ich die keys herholen die ich da eintrage, ich generiere die ja nicht sondern Netcup (also bei den servern von bspw webhosting)

    Zitat von customer

    Und die PubKeys der User bekommst du über unsichere Kanäle zugesandt, die du dann blind akzeptierst? Ich denke nicht.

    zu ende lesen. es wurde gesagt:

    Zitat von gunnarh

    Somit ist da kein "sicherer Kanal" im Sinne von Vertraulichkeit nötig.

    ich hab mal markiert.

    solange du sicherstellen kannst, dass die information echt ist bspw signatur oder telefongespräch was weiß ich, braucht man keine geheimhaltung bsow verschlüsselung, da es nur um pubkeys geht.


    die Idee dass Netcup bei seinen eigenen SSH instanzen den serverpubkey mal irgendwo fallen lässt wäre ja schon geil da man selbst ohne SSHFP zumindest manuell nachschauen kann und im ccp hat man ja HTTPS also (zumindest einigermaßen) einen sicheren kanal

    Zitat von customer

    Fehlt nur noch ein Admin, der sich genauso verhält und jeden unsicher übertragenen PubKey blind akzeptiert

    kriegst du bei den meisten hostern mit SSH Support, da man die server pubkeys nicht zu sehen bekommt