Zitat:
"Das Tool(fail2ban) unterstützt aber trotzdem von Haus aus die Wrapper-Technik sowie ipfw"
Zitat aus dem Heise Artikel.
fail2ban installiert.
Was wirklich scharf ist, seit ein paar Minuten läßt sich mit
Putty ungewöhnlich flexibel und schnell arbeiten.
Der Zeitlupeneffekt und die Aussetzer sind verschwunden.
Das hat doch was 
Danke und´nen schönen Sonntag noch
Sunshine
Schätze, die Firewall ist noch nicht aktiviert.
Ich kenne mich mich IP Tables nicht aus, und muß mich
erstmal damit auseinandersetzen.
Wenn das geschehen, spricht nix dagegen.
Der Heise Tip war gut.
Installiere noch fail2ban und hoffe, dass das für´s erste
ausreicht.
Danke und Gruß
Sunshine
Ich weiß nicht, ob das Weisheit letzter Schluß wäre.
Es ist ja ein ständiges Anfragen auf meine Ip Adresse.
Naja, obwohl...
Ein LoadBalancer wäre vielleicht eine Lösung, wo Kunden von Netcup entsprechende IP´s eintragen
könnten, um diese dann ins Nirwana zu schicken. Aber das wäre etwas, das Netcup realisieren müßte.
Aber danke Servior für deine Hinweise
LG,
Sunshine
Edit:
Seit 6 Stunden läuft der Mist jetzt?!
ProFtpd und Postfix sind runtergefahren, um die Angriffsfläche noch kleiner zu machen.
Hallo Netcupers,
was tun bei Server Attacken?
Gerade auf dem eigenen Server angekommen, bemerke ich, das alles ehr zähflüssig läuft. Putty! Wie in Zeitlupe mit Aussetzern.
Schau im auth.log nach und sehe dort:
seit 12:27 Uhr versucht sich jemand unter der IP Adresse 201.16.225.241
einzuloggen. DenyHosts weiß zwar was zu tun ist, aber ständiges Anfragen von dieser IP Adresse verlangsamt meinen Server doch erheblich.
Die Ip Adresse gehört zu:
inetnum: 201.16.192/18
aut-num: AS16735
abuse-c: CST87
owner: COMPANHIA DE TELECOMUNICACOES DO BRASIL CENTRAL
ownerid: 071.208.516/0001-74
responsible: Leovaldo Martins Araújo
country: BR
owner-c: CCRDO
tech-c: GAD19
inetrev: 201.16.224/21
nserver: nspar.ctbc.com.br
nsstat: 20091122 AA
nslastaa: 20091122
nserver: nssar.ctbc.com.br
nsstat: 20091122 AA
nslastaa: 20091122
created: 20050615
changed: 20081229
Was nun nicht zwingend bedeutet, dass das auch der Ursprungsort ist.
Ich war zwar schon des öfteren in Brasilien, aber so schlecht und rüpelhaft habe ich mich nun auch nicht benommen *gg*.
Also, was tun? Abwarten? Gibt es geeignete Gegenmaßnahmen ohne Brasilien in den Abgrund zu stürzen?
LG,
Sunshine
Konni, danke für Hinweis und Link.
Heruntergeladen, ausprobieren später, bin gespannt.
Und ja, DenyHosts läuft gut und wunderbar.
Gruß,
Sunshine
Hallo killerbees19,
vielen Dank
Geht ja schneller als meine Großmutter häkeln kann....:D
Gruß,
Sunshine
Hallo und guten Abend,
meine erste Frage: gibt es Erfahrung mit DenyHosts?
Wäre es ratsam es einzusetzen? Wenn ja, wo bitte trage ich die Optionen
PURGE_DENY = 1d
DAEMON_PURGE = 1d
ein?
Die Optionen bedeuten, das die gesperrten IP´s nach einem Tag wieder Zugang haben. Ich könnte das zwar auch manuell erledigen, automatisch klingt
aber einfacher und besser *g*
DenyHosts ist ein Python-Script, das standardmäßig alle 30 Sekunden die syslog-Datei (var/log/auth.log nach verdächtigen SSH-Fehlversuchen "scant" und "auffälige" IP-Adressen in die Datei /etc/hosts.deny einträgt. Es trägt zur
Verbesserung der Sicherheit des Servers bei. Ich bin darauf gekommen, nachdem
ich doch in /var/log/auth.log so manche IP-Adresse gefunden habe, die versucht hat,
sich mit root und anderen Usernamen einzuloggen.
Scheinbar lassen sogar einige ganze Scripte durchlaufen...
Zweite Frage: Kennt jemand einen guten LogFile-Analyser?
Ich habe zwar schon einige durchprobiert, wobei selbstverständlich jeder auch
Linux/Unix lesen und in verschiedenen Optionen darstellen kann.
Meine Erfahrung: War wohl nix.
Die Log-Files aus verschiedenen Perspektiven zu betrachten gibt doch eine
bessere Übersicht und ein besseres Gefühl um zu verstehen, was passiert.
Danke und Gruß,
Sunshine
Hallo,
bin gerade Zuhause angekommen.
Ich werde mir das zu Gemüte ziehen michi.
Hmm, 8 Zeichen als Passwort. Vielleicht ist es das.
Ich nutze nämlich sehr oft, eigentlich immer, sehr lange
Passwörter. Als geübter Tastaturjockey mit gutem Gedächtnis
kein Problem.
Nun gut. Ich habe bei dem User, den ich erstellt habe, keine
Domäne angelegt. Wozu? Einfacher Username für FTP,
langes Passwort und ohne Sonderzeichen.
Mal schaun
Herzlichen Dank nochmal
Gruß,
Sunshine
Hallo michi,
in auth.log steht dann sowas wie: FTP Session closed
no such user xxxx
no such user xxxx
Beipspiel:
ftp user angelegt, nennen wir ihn ottoftp1
passwort geändert und gespeichert
als ottoftp1 eingeloggt: login incorrect
Jetzt kommt ne Meldung: Verbindung nicht erfolgreich
Bin ich nun schon näher dran, oder weiter weg? 
Gruß,
Sunshine
Hallo und guten Morgen,
ich habe den Server kurzerhand neu aufgesetzt.
Die Scripte(proftpd.conf, etc.) habe ich so belassen; keine Änderungen vorgenommen. Einen Kunden angelegt und einen zusätzlichen FTP Acoount.
-- Login incorrect --
Echt lustig...
Keine Ahnung, was ich falsch mache.
In /var/log/daemon.log steht drin -- FTP Session opened --, die VServer Adresse, gefolgt von der Adresse meines Providers.
Ich hatte sogar schon in der proftpd.conf den ´RootLogin off´ auf ´RootLogin on´ gesetzt. Natürlich nicht vergessen den Proftpd neu zu starten. -- Login incorrect --
Als Kontrast habe ich mich immer wieder auf anderen Servern eingeloggt.
Dort funktioniert es tadellos. Ich habe meine Netzverbindung von meinem Proxy abgekoppelt und bin direkt in Netz, was ich ungerne mache. Aber auch
hier keine positiven Ergebnisse.
Tja, und nun?
Gruß,
Sunshine
PS. Danke für eure Geduld und Freundlichkeit
Hallo michi,
ja stimmt. Postfix als SMTP.
Eingetragen haben ich die entsprechenden Passwörter, bzw. ersetzt.
Trotzdem läuft es nicht. Auch bei Proftpd das entsprechende Passwort
ersetzt. Ergebnis: nichts.
Und ja Debia Etch 4 ist meine Distribution.
Gruß,
Sunshine
Hallo LGS93,
nein, kein Update von SysCP.
Habe im Grunde genommen die üblichen Schritte abgearbeitet, die als
Vorschlag/Hinweis in der Konfiguration vorgegeben. Mehr nicht.
Kunde angelegt, und nichts geht?
FTP Account wird ja automatisch angelegt. Habe das Passwort geändert
und versucht mich einzuloggen: Nichts, nada
Mail Account dasselbe.
Wie gesagt, ich kann mir nirgendwo einloggen.
Webserver läuft einwandfrei, keine Probleme!
Gruß,
Sunshine
Hallo michi,
/var/www/syscp/scripts/...stimmt, ich habe mich vertippt.
Konfiguration oder Einstellungen?
Unter Einstellungen finde ich nichts besonderes.
Unter Konfiguration schon. Nirgendwo kann ich Postfix entdecken,
obwohl der läuft? Zwei Auswahlmöglichkeiten gibt es: Courier oder Dovecot..
Nur..., ist mir die Bedeutung nicht klar?!
Allmählich bekomme ich Zweifel, ob der Vserver die richtige Wahl war.
Auf FTP kann ich vielleicht verzichten, es läuft auch sehr gut über sftp/ssh2.
Auf E-Mail jedoch nicht....
Gruß und Danke,
Sunshine
Hallo Proyx,
imap und pop3 sind aktiviert. Ist in SysCP und Kunde anlegen nicht zu übershen. Was meinst du mit Mailserver Namen?
Es sollte schon so funktionieren, denn sonst hätte ich ne Meldung bekommen,
die da lautet: Host nicht gefunden.
Den Host findet er, nur Login ist incorrect?!
Und in /var/kunden/webs ist gar nichts zu finden.
In /var/kunden/mail legt er ja alles richtig an.
Mail Client? Nun, wenn ich ne Mail Adresse anlegen, dann sollte die
über pop3 abzufragen sein, und wie es so üblich, nutzt man hierfür einen
Mail Client.
Vielleicht gibt es hier ein Mißverständnis?
Mein Problem ist auf der Login Seite zu finden.
Weder FTP noch Mail funzt richtig....
Gruß,
Sunshine
Hallo,
nachdem ich einen Kunden erstellt habe, wird unter Mail /var/kunden/mail auch tatsächlich Kunde und E-Mail erstellt. Nur Einloggen mit einem Mail Client funktioniert nicht. Meldung: Login incorrect.
Außerdem habe ich festgestellt, das unter /var/kunden/webs der Kunde nicht angelegt wird?
Ich bin mir nicht sicher ob diese Meldung unter/var/mail/ und dann die Datei root relevant ist:
Could not open input file: /var/www/scripts/cronscript.php
Vielleicht kann jemand helfen?
Danke,
Sunshine
Hallo killerbees19,
wo genau trage ich den usernamen ein?
Danke,
Sunshine
Hallo killerbees19,
nicht schlecht, die Zeitüberschreitung ist weg, dafür bekomme ich jetzt "Login incorrect". Passwort überprüft, stimmt alles so.
Hmm, vielleicht noch´n Tip ?
Danke,
Sunshine
Guten Morgen,
modules.conf sieht bei mir so aus:
#
# This file is used to manage DSO modules and features.
#
# This is the directory where DSO modules resides
ModulePath /usr/lib/proftpd
# Allow only user root to load and unload modules, but allow everyone
# to see which modules have been loaded
ModuleControlsACLs insmod,rmmod allow user root
ModuleControlsACLs lsmod allow user *
#LoadModule mod_ctrls_admin.c
LoadModule mod_tls.c
LoadModule mod_sql.c
#LoadModule mod_ldap.c
LoadModule mod_sql_mysql.c
#LoadModule mod_sql_postgres.c
#LoadModule mod_quotatab.c
#LoadModule mod_quotatab_file.c
#LoadModule mod_quotatab_ldap.c
#LoadModule mod_quotatab_sql.c
#LoadModule mod_radius.c
LoadModule mod_wrap.c
LoadModule mod_rewrite.c
# keep this module the last one
LoadModule mod_ifsession.c
<IfModule mod_delay.c>
DelayEngine off
</IfModule>
-------------------------------------
proftpd.conf sieht bei mir so aus:
Include /etc/proftpd/modules.conf
ServerName "v123456789_12345.yourvserver.net FTP Server"
ServerType standalone
DeferWelcome off
MultilineRFC2228 on
DefaultServer on
ShowSymlinks on
AllowOverwrite on
TimeoutNoTransfer 600
TimeoutStalled 600
TimeoutIdle 1200
DisplayLogin welcome.msg
DisplayFirstChdir .message
ListOptions "-l"
DenyFilter \*.*/
Port 21
MaxInstances 30
UseIPv6 off
TransferLog /var/log/proftpd/xferlog
SystemLog /var/log/proftpd/proftpd.log
# make proftpd faster / do not perform ident and reverse dns lookup
UseReverseDNS off
IdentLookups off
# Set the user and group that the server normally runs at.
User nobody
Group nogroup
<Directory /*>
# Umask 022 is a good standard umask to prevent new files and dirs
# (second parm) from being group and world writable.
Umask 022 022
# Normally, we want files to be overwriteable.
AllowOverwrite on
</Directory>
DefaultRoot ~
RequireValidShell off
AuthOrder mod_sql.c
SQLAuthTypes Crypt
SQLAuthenticate users* groups*
SQLConnectInfo syscp@localhost syscp MYSQL_PASSWORD
SQLUserInfo ftp_users username password uid gid homedir shell
SQLGroupInfo ftp_groups groupname gid members
SQLUserWhereClause "login_enabled = 'y'"
SQLLog PASS login
SQLNamedQuery login UPDATE "last_login=now(), login_count=login_count+1 WHERE username='%u'" ftp_users
SQLLog RETR download
SQLNamedQuery download UPDATE "down_count=down_count+1, down_bytes=down_bytes+%b WHERE username='%u'" ftp_users
SQLLog STOR upload
SQLNamedQuery upload UPDATE "up_count=up_count+1, up_bytes=up_bytes+%b WHERE username='%u'" ftp_users
----------------------------------------------------
Die obere Zeile ServerName habe ich verändert.
Ansonsten ist es genau das, was ich aus dem SysCP kopiert habe
und dann in das entsprechende Verzeichnis kopiert.
Ich habe dann versucht mich mit dem User einzuloggen, den ich
erstellt habe.
Anmerkung: ich kenne mich mit Proftpd nicht aus, daher geht mir fast jede
"Peilung" ab. Wäre dankbar für gute und nützliche Hinweise
Gruß,
Sunshine
Hallo,
nein meine Firewall behindert den FTP Client nicht, denn woanders kann
ich mich ohne Probs einloggen.
Könnte jemand vielleicht die beiden .conf Scripte hier als Beispiel posten?
Natürlich ohne Host und Passwörter *g*.
Ich hätte dann etwas zum Vergleich..., wäre nett
Danke,
Sunshine
Also, in Kürze...
Joomla installiert, und wie ich dann tatsächlich feststellen mußte: es war das AntivirenProggie, Scriptcontrol deaktiviert, und schon funktionierte es einwandfrei.
Danke
Schöne Woche und Gruß,
Sunshine
