Ok, dann werde ich mal den Netcup Support anschreiben.
Hm? Das war so ziemlich das letzte, was man aus meinem Post herauslesen konnte ...
Beiträge von frank_m
-
-
Sehe ich das richtig, dass die Paketverluste bei Netcup liegen?
Sie können auch auf deinem Server liegen. Aber ja, sie sind von Anfang an im Trace, allerdings nur in Upstream Richtung.
Hier nochmal iperf udp
Da sieht man deutlich eine Begrenzung auf 100 MBit/s im Stream. Aber ansonsten sieht es gut aus.
-
Man muss iperf3 mit "-u" starten und eine Bandbreite angeben, da iperf sonst nur mit 1 MBit/s arbeitet. Bei der Bandbreite muss man sich rantasten an die Bandbreite, die problemlos geht. Das sollte recht nah an der maximalen Bandbreite des Anschlusses sein. Wenn es schon bei deutlich niedrigeren Bandbreiten zu regelmäßigen Paketverlusten kommt, ist das ein Problem. Noch viel schwieriger wird, herauszufinden, wo die Pakete auf dem Weg zwischen Quelle und Ziel verloren gehen. Und um es deutlich zu sagen: Eine Lösung für so ein Problem hab ich noch nie gesehen. Wenn man feststellt, dass man es hat, kann man eigentlich nur drumzu arbeiten.
-
Hier ein Test von heute morgen
Da wäre natürlich der Test mit den parallelen Verbindungen wichtig gewesen. Wenn alles klappt, ist es easy, aber wenn es Probleme gibt, dann wird es interessant.
Hier fällt auf, dass der Retr (Retransmitted TCP packets) Wert relativ hoch ist.
Das deutet auf Paketverluste hin, weshalb ich oben schon geschrieben habe, mal einen UDP Test zwischen Server und Client ohne Wireguard zu machen.
Ich habe eine Wireguard Verbindung zwischen einem Raspi4 und einem RS2000 laufen, über eine Deutsche Glasfaser Verbindung mit 400/200 MBit/s. Keinerlei Probleme, die Verbindung ist über Monate stabil. Ich habe teilweise Uptimes von über 40 Tagen am Stück, bevor dann wieder irgendein Software Update einen Reboot erfordert. Kein Problem.
-
Diese "reports2.js", "results.xml" und "resng.css" sind auf meinem Server z.B. überhaupt nicht vorhanden.
Oder verstehe ich das falsch?
Das war die Frage. Kannst du sicher ausschließen, dass die Dateien von dir sind? Das wäre dann ein Hinweis darauf, dass der Upload nicht von dir kam.
-
Kann es nicht sein, dass es, wie manche ja geschrieben haben, über ein veraltetes Plugin geschehen ist, also nicht wirklich über die echten Zugangsdaten, sondern eben über eine Sicherheitslücke?
Bei einer Sicherheitslücke findet kein klassischer Login statt. Da verschafft man sich über andere Wege Zugriff auf die Server. Der FTP Upload am morgen, der könnte durch eine solche Lücke entstanden sein. Der Login am Nachmittag fand mit regulären Zugangsdaten statt, deshalb auch die Meldung von Wordfence.
In den PUTs stehen ja nur die Dateien.
Und das sind auch deine Dateien? Das war ja noch eine der offenen Fragen.
Ob da meine Zugangsdaten drin waren, ist ja erst mal nur eine (valide) Vermutung.
Schau mal in die wp-config.php.
-
Ist aber zugegebenermaßen unwahrscheinlich, dass die Anfragen von einen anderen Kunden kamen...
Ich hätte halt keine Erklärung dafür, dass die Dateien vom TE übertragen wurden ... außer, der Host ist involviert.
-
Ich sehe auch in meinen netcup-Statistken zur Datenübertragung per FTP exakt 0,00 MB, diesen sowie letzten Monat.
Wie gesagt, das kann sonst ein FTP Client in deinem System gewesen sein. Da kommen eindeutig FTP Puts von deiner IP, und in den hochgeladenen Dateien waren deine Zugangsdaten. Es spricht einiges dafür, dass die aus deinem Server kamen.
Wenn meine Seite gehackt ist/war, müsste ich doch alle möglichen Themen haben, bzw. sich Leute bei mir melden, dass meine Seite willkürlich fremde Server attackiert, ich Login-Infos in meinen Logs sehen.
Ja, sollte man denken, aber nach einer solchen Attacke muss sich dein System ja nicht sofort in einen amoklaufenden Bot verwandelt haben. Es gibt Schadsoftware, die wartet auf Kommandos einer Zentrale, bevor sie loslegt, und in den Kommandos sind dann auch die Informationen zum anzugreifenden Ziel.
Wieso wird ausgerechnet dieses eine Unternehmen aus dem Nichts angegriffen?
Ich hatte ja auch schon mal den Verdacht, dass der Zugriff Absicht war. Ein Backup Script oder ein Plugin zum Beispiel. Der Anbieter bietet eine kostenlose Testmöglichkeit und hat deshalb Zugangsdaten hinterlegt. Aber die Zielseite sieht nicht so aus, als könne sie zu so einem Projekt gehören.
Wurden alle Dateien deiner Seite kopiert, oder nur einige? Sind die anderen Einträge von deiner Seite (results.xml, resng.css)?
-
Die Frage ist, was als FTP Client benutzt wurde. Das kann ja auch der WP Client gewesen sein. Das könnte sich also irgendwo in den Server-Logs verstecken. "significo.de" ist die angegriffene Domain auf deren Seite?
Ich könnte mir was konstruieren:
- Deine Seite wurde gehackt
- In der Folge hat sie per FTP etwas auf deren Server hochgeladen, vielleicht automatisch, vielleicht nach einem Trigger
- Dabei könnte ebenfalls Schadcode gewesen sein, der auf der Gegenseite zur Ausführung kam
- Dieser Schadcode könnte dann wieder den Login bei dir ausgelöst haben. Deine Zugangsdaten sind ja offenbar mit übertragen worden.
Einige offene Fragen bleiben:
- Woher kamen die FTP Zugangsdaten, die nötig waren?
- Warum mussten sie eine Stellungnahme an ihren Hoster senden?
- Wer ist der "Antragsteller"?
-
Kann es sein, dass "/backup/net/test/tmp/" ein Filesystem verwendet, dass mit Linux Dateirechten nicht umgehen kann?
-
Unter DNS im Hosting habe ich die Subdomain mittels A-Record Eintrag auf einen externen VPS (d.h. dessen IP Adresse, da der keine Domain hat) weitergeleitet.
Und AAAA ist noch auf dem Webhosting? Was macht das für einen Sinn?
Wie schaffe ich es, dass das Zerifikat des Webhostings für den VPS übernommen wird ?
Du musst das Zertifikat natürlich auf dem VPS installieren. D.h., certbot etc. und ab dafür.
-
Wobei, in Elementor war doch kürzlich noch was. Das war ne sehr kritische Lücke. Ich nutze es nicht, aber ich habs gelesen.
-
-->Wie gesagt, ging ich davon aus, dass ich der "Antragsteller" bin.
Aber du hast sie direkt angeschrieben, nicht ihren Hoster. Der Auszug ist aus der Nachricht an deren Hoster, und dort ist die Rede von einem Antragsteller. Ich glaube nicht, dass sie dich damit meinen.
-
Bei mir:
/usr/bin/ftp
/usr/bin/sftp
Komisch, bei mir nicht. Hängt es vielleicht vom Produkt ab? Ich hab ein Webhosting 2000. Aber Wordpress scheint ein FTP zu beinhalten. Die Frage ist, ob es das Protokoll implementiert, oder auf System Executeables zurückgreift.
Aber nehmen wir die Antwort vom IT Dienstleister doch noch mal auseinander.
Dies ist die Stellungnahme, die wir heute an unseren Hoster senden mussten.
Warum mussten sie eine Stellungnahme an den Hoster senden?
am 30.11. um 06:34h wurden Daten von der IP 188.68.47.155 auf den Server xxx.xxx.xxx.xxx per FTP übertragen.
Da steht nicht, wer Server und Client war.
Hierbei handelte es sich um einige veränderte PHP und Wordpress Dateien, u.a. wie die wp-login.php und die wp-config.php . Mit dem Wissen könnte jemand Zugriff auf die Datenbank und damit auf die User Passwörter bekommen haben.
Auf welche Datenbank oder User Passwörter? Auf ihre? Oder auf deine?
Wir haben alle verdächtigen Dateien entfernt und das FTP Passwort geändert.
Die Frage ist ja auch, woher dein WP ihr FTP Passwort kannte. Und was war das für ein Service?
Es ist anzuraten, die entsprechende Wordpress Instanz des Antragstellers ebenso zu überprüfen.
Wer ist der Antragsteller?
Irgendwie scheinen sie von ihrem Hoster zu einer Stellungnahme aufgefordert worden zu sein. Ein Antragsteller hat sich da offenbar gemeldet. Wie das mit deinem Zugriff zusammenhängt, ist mir aber nicht klar.
Ich könnte mir jetzt was konstruieren. Ein Backup-Script von dir, welches per FTP deine Installation auf einen Server spiegelt. 06:34 Uhr könnte ein typischer cron Zeitpunkt sein. Aber warum ist es ausgerechnet deren Server? Woher kommen die Zugangsdaten? Aus irgendeinem Plugin, was dieses Unternehmen vielleicht anbietet? Ist bei dir irgendwas in dieser Richtung aktiv im WP?
-
1. Ich habe eine Mail von Wordfence über einen erfolgreichen Login auf meinem WP bekommen
Aber wie war der Login möglich? Woher hatten die die Zugangsdaten? Offenbar gabs ja keine Fehlversuche, die waren direkt im ersten Schuss drin. War dein Passwort so leicht zu erreichen?
Wie würde ich denn eine ausgehende Kommunikation von meinem netcup/WP auf den anderen Server per FTP erkennen?
Einen einzelnen gezielten Zugriff wirst du da kaum erkennen. Aber wenn es Schadcode auf deinem WP gibt, wird der ja nicht nur einen Server angreifen. D.h., in den Datenübertragungsstatistiken müsste man sofort sehen, wenn der Traffic stark ansteigt, vor allem der FTP Traffic.
Bei der Gelegenheit: Beinhalten die netcup Webhostings überhaupt ein FTP Client drin? Auf der Konsole hab ich keinen gefunden.
-
Also irgendwie ist das alles merkwürdig.
Angeblich wurde deine Seite gehackt und hat daraufhin den IT Dienstleister angegriffen (womöglich sogar erfolgreich). Ok. Nehmen wir mal so hin. Aber wie kann sich der IT-Dienstleister in der Folge bei dir anmelden? Woher hatte er deine Zugangsdaten?
Grundsätzlich kann deine Installation natürlich schon seit Monaten kompromittiert sein und die Schadsoftware hat einfach nur gewartet. Dafür muss es auch keine Login-Versuche auf deine WP Instanz gegeben haben, es gibt auch andere Wege.
-
Denn 2 x ein vLAN mit einer maximalen Bandbreite von 1 Gbit/s zu bestellen und Diese danach zu bündeln
Bündeln war gar nicht mal der Plan, aber man kann ja ggf. verschiedene Anwendungsfälle über die VLANs abbilden. Eines für den Internetzugang, eines für den Datenbank-Zugriff oder so.
-
Was nicht geht, so meine damaligen Tests, ist zwei vLAN´s mit 2,5 Gbit/s zu bestellen und dann parallel zu nutzen, um damit dann die Bandbreite zu verdoppeln. Denn da teilen sich die beiden vLAN´s tatsächlich die maximale Bandbreite von nur einem vLAN.
Gilt das auch für langsamere VLANs? Also würden sich 2x 1 GBit/s dann auch die 1 GBit/s teilen, oder kämen mehrere VLANs in Summe an die maximale Anschlussgeschwindigkeit des Servers heran?
-
Die Frage hat in diesem Thread nichts verloren, das ist völlig offtopic. Threads kapern ist ein NoGo in Foren!
Lösch den Beitrag und mach einen neuen Thread auf!
-
Hallo zusammen,
ich konvertiere gerade mein iptables set nach nftables. Die Regeln an sich sind auch kein Problem, Probleme machen die ipsets.
Grundsätzlich hab ich es hinbekommen, meine blacklist Scripte so anzupassen, dass sie ein nftables Set erzeugen, anstatt ein ipset. Ich kann es auch laden und erfolgreich in den Regeln einer chain ansprechen. Problem: Das Set muss sich in der gleichen Table befinden, wie die Chain mit den Regeln. Aus Komfortgründen hätte ich es gern in einer anderen Tabelle, denn es ist nervig, wenn man sich nur eben das ruleset ansehen will, und vorher eine Liste von 220.000 IP Adressen ausgespuckt wird.
