Beiträge von fLoo

Nabend,

was sagt dir :

lsof -i :443

sowie

lsof -i :80

?

Zitat von [netcup] Felix;10048

Das ist sehr sehr unwahrscheinlich. Für das Passwort gibt es 218340105584896 Kombinationen und die knackt man nicht in 4 Stunden!!! [...] Bitte einmal realistisch denken und nicht uns hier die Schuld in die Tasche schieben. Solche falschen Aussagen sind tödlich für netcup.

Entschuldige Felix, es sollte natürlich nicht die Schuld auf Netcup geschoben werden,
es ist hier einfach mehr als unglücklich gelaufen. Zunächst noch einen Zusatz zu den Fakten :[INDENT]1.) Der eingesetzte Scanner basiert nicht auf Bruteforce, sondern auf vordefinierten Passwortlisten.

2.) KB19: Ja, es gab tatsächlich unglaublich viele Loginversuche. Die Auth.log war nach 3 Tagen satte 8 MB groß - das sollte für sich sprechen

3.) Ich bezweifel, dass es hier um Kundengeheimnisse ging, dies habe ich bei der Analyse der Vorgehensweise gesehen. Der Server wurde lediglich als Slave zum Scannen weiterer Server verwendet und eben zum UDP-Flooden anderer Server

4.) mwx: 0815-Passwort sollte bedeuten, dass das Passwort welches hier durch den Zufallsalgo generiert wurde nicht so war wie es sein sollte. Dies kann vorkommen, denn Zufälle gibt es, die gibt es garnicht. Es sollte hier nicht abwertend gemeint sein, ich bitte diese Formulierung zu entschuldigen.
[/INDENT]Kommen wir jetzt zu dem Teil mit dem Default-Passwort. Dies ist in der Tat, rechnerisch gesehen "sicher", jedoch wird das Passwort per Zufall generiert und wie der Zufall manchmal so will, kommen auch gerne mal Kombinationen heraus, welche sich in der ein oder anderen Wortliste wiederfinden.
Bestels Beispiel hier : reCaptcha. Hier findet man auch Wörter wie "Arschgeige" oder "Lamenoob". So ist es wohl auch bei der VServerinstallation des Kunden passiert. Statt A7ha9fa ist wohl sowas wie A123xyz herausgekommen - was sich aber im Nachhinein nichtmehr nachvollziehen lässt.

Sicherlich hat Netcup keine Schuld an dem Einbruch. Es war einfach ein "blöder Zufall", dass das automatisch generierte Passwort "wortlistentauglich" war. Dies wird ebenfalls dadurch bestätigt, da verschiedene Rechner auf dem Server SSH-Logins mit erfolg absolviert haben. Die Wortlisten werden bekanntlich untereinander ausgetauscht, so sind die Logins von den vielen verschiedenen Servern (Hier Rumänien, England, USA) zu deuten.

Da die Vergabe des neuen Passwortes nicht aktiv durch Netcup beeinflusst werden kann, hat Netcup selbst keine Schuld an dem Geschehenen, hier kann man die Schuld auf den Zufallsalgorithmus des OpenVCP-Panels schieben

Felix, ich wollte Dir net ans Bein "pinkeln", entschuldige wenn mein vorheriger Beitrag etwas falsch rübergekommen ist.

Liebe Grüße

Florian

Um die Sache aufzuklären :

Ich habe jetzt 2.5 Stunden mit dem Kunden seinen Server durchgecheckt und bin zu dem Ergebnis gekommen, dass es daran lag, dass das von Netcup vergeben Standardpasswort Schuld an der Misere war.

Der Kunde hatte Morgens den Server aufgesetzt, nach 4 Stunden bereits wurde ein SSH-Login von einer fremden IP mit Root-Privilegien getätigt.

Hier ein Auszug :

Nov 13 08:28:32 v123 sshd[10716]: Accepted password for root from meine.ip port 57859 ssh2 // Login Ich selbst
Nov 13 08:28:57 v123 sshd[10790]: Accepted password for root from meine.ip port 57863 ssh2
Nov 13 08:34:19 v123 sshd[14608]: Accepted password for root from meine.ip port 57957 ssh2
Nov 13 08:35:30 v123 sshd[16272]: Accepted password for root from meine.ip port 57961 ssh2
Nov 13 08:35:56 v123 sshd[16483]: Accepted password for root from meine.ip port 57962 ssh2
Nov 13 08:46:28 v123 sshd[2655]: Accepted password for root from meine.ip port 58256 ssh2
Nov 13 12:49:24 v123 sshd[25761]: Accepted password for root from 62.193.228.27 port 51937 ssh2 // wpc1310.amenworld.com
Nov 13 12:53:31 v123 sshd[30548]: Accepted password for root from 62.193.228.27 port 41331 ssh2
Nov 13 12:53:40 v123 sshd[31423]: Accepted password for root from 62.193.228.27 port 42904 ssh2
Nov 13 12:53:46 v123 sshd[32210]: Accepted password for root from 62.193.228.27 port 44100 ssh2
Nov 13 12:59:48 v123 sshd[2967]: Accepted password for root from 188.26.82.36 port 2198 ssh2 // Romäne
Nov 13 13:01:37 v123 sshd[14203]: Accepted password for root from 188.26.82.36 port 2201 ssh2
Nov 13 13:02:19 v123 passwd[20202]: pam_unix(passwd:chauthtok): password changed for root
Nov 13 19:19:26 v123 sshd[12966]: Accepted password for root from 188.26.82.36 port 1657 ssh2
Nov 13 19:20:31 v123 sshd[15840]: Accepted password for root from 188.26.82.36 port 1671 ssh2
Nov 13 19:23:25 v123 sshd[18758]: Accepted password for root from 188.26.82.36 port 1691 ssh2

Ich sehe das hier nicht _nur_ als Verschulden des Kunden an, die 0815-Passwörter von Netcup tragen ebenso dazu bei.

Es wäre ratsam hier alphanumerische Passwörter mit Sonderzeichen per default zu vergeben. Sicherlich sollte der Kunde SOFORT ! nach der Installation den SSH-Port zu ändern und ebenfalls PermitRootLogin auf no setzen.

Der Server wurde im Endeffekt für das Scannen neuer Server und das UDP-Flooden von Servern verwendet, woraufhind dieser dann abgeschaltet worden ist.

Liebe Grüße

Florian

Wenn die PHP-Datei nicht World-Readable ist kann man diese auch mittels :

* * * * * <user> php5-cgi /var/www/was/auch/immer/cron.php

ausführen.

Man sollte sowieso keine Passwörter benutzen, dafür gibts die Schlüssel. Aber nundenn, jedem das Seine..

Es ist egal ob der Name des Servers aufgelöst wird. Die meisten Scanner arbeiten auf IP-Basis, nicht auf Basis von DNS Records.

Zippe die Logs (tar cfvz) und lade sie dann per FTP herunter. Besser noch, sicher das ganze Logverzeichnis LOKAL bei dir nochmal ab :

tar cfvz log.tar /var/log

Dann stellst Du bitte mal die Webserverlogs dem Forum zur Verfügung, ich biete mich gerne für eine detaillierte Analyse an. Bitte jedoch nicht per Public-Download, sondern dann per PM.

LG

Florian

Erstmal steht eine Analyse des Geschehenen im Vordergrund. Du solltest Dir erstmal im Klaren darüber werden, WAS dein Server überhaupt gemacht hat, bevor wir hier weiter diskutieren.

Das sind nur Logeinträge von einem Scantool, das besagt jedoch nicht, dass Dein Server kompromittiert wurde. Remotedesktop ist absolut von Abzuraten, sowas gehört nicht auf einen VServer. Um die Verbindungen zu überwachen gibt es netstat.

Zitat von killerbees19;9814

Das wäre ja ein Browser in PHP, nicht wahr, oder? :eek:MfG Christian

Korrekt. Man kann sich das vorstellen wie ein Screenshot im Browser.

Zitat von killerbees19;9784

Also das würde mich jetzt auch interessieren. Du hast ernsthaft einen HTML/CSS usw. Parser in PHP, der daraus ein Bild erstellt? Das wäre ja mal etwas ganz geniales

So gerne ich hier das Script veröffentlichen würde, kann ich es nicht machen. Es ist Teil eines meiner Projekte, tut mir leid

Zitat von killerbees19;9752

Und wie stellst du die Website dann grafisch dar?

Sourcecode fetchen -> Grafik daraus erstellen.

Ich nehme dafür PHP-GD + Imagemagic

Zitat von sim4000;9734

Was soll eigentlich dieser Versionswahnsinn?
Solang es für die vorhandenen Images immer noch Patches gibt ist doch alles tutti.

Zitat von killerbees19;9735

Eben, und auf die aktuellste Version kann man doch ganz leicht über die Konsole upgraden

Das ist Quatsch, sorry. So einfach lässt es sich eben nicht auf 9.10 Upgraden. Probier es doch mal aus :p

Deaktiviere mal bitte zBlock und schau ob es dann immernoch so läuft.
Frag mal beim Support auf welchem Node du liegst, vielleicht liegst Du auf einer Kiste mit vielen Trafficlastigen Usern.

Wir warten ja auch noch auf ein Ubuntu 9.10 Image :cool:

Ich habe Dir mal ein Bild angefertigt (habe das Business 5XXX Paket)

[Blockierte Grafik: http://img213.imageshack.us/img213/2671/howto.jpg]

1.) Auf Email
1.1) Auf Email-Adressen

2.) Bei neuer Email gibst Du ein " * " ein, ohne die Anführungszeichen
2.1) Dann entweder POP3-Postfach oder bestehende Email auswählen

3.) Speichern

Das sollte laufen

Zitat von Scaleo;9699

Ich habe mittlerweile einiges an erfahrung mit Gameservern. Nein ESL Settings verbieten ja geradezu Plugins... Das ist es ja.!

ICh meinte auch damit das die logs nicht aussagekräftig genug sind um auf ein Problem das durch die Gameserver hervorgerufen wird zu schließen

Schön, dass Du bereits einige Erfahrung sammeln konntest. Das beantwortet mir trotzdem nicht die Frage, ob es ohne die ESL-Konfigurationen immernoch so ist.

Herzlich Willkommen an Board (von Netcup)

Zitat von Scaleo;9685

die logs sagen gar nichts aus. Allerding stelle ich fest, dass die CPU´s laut htop sehr oft an ihre Grenzen stoßen.

Vielleicht ist ja etwas defekt oder ich habe ein volles Node erwischt.
Allerdings sollten mir meine festen Ressourcen eigentlich einen Lagfreien Betrieb ermöglichen.

Tuen sie definitiv. Hast Du den / die Server mal ohne irgendwelche ESL-Configs gestartet ?

868

So habe jetzt meinen VServer komplett neu installiert und einiges angepasst. Da ich einige Projekte bisher nur in der Betaphase betrieben habe, habe ich die Sicherheit hier ein wenig schleifen lassen, dies habe ich jetzt verbessert.

Setup (ebenfalls geändert) :

Lighttpd, Mysql, Nullmailer (super Programm), PHP5

Alle Domains laufen jetzt unter eigenem Nutzer, dies erhöht die Sicherheit enorm. Da alle Projekte jetzt aus dem Betastadium raus sind, wurden ebenfalls einige andere dienste gehärtet. Jede Webpräsenz bekommt 3 PHP-Spawns zur Verfügung welche nach 500 Requests neu Laden.

Hat mich zwar jetzt 3 Stunden arbeit gekostet, das war es aber wert, bin super zufrieden