Beiträge von Pflichtfeld

Ist es möglich, die Individualisierung von den Servern zu verbessern? Denn ich denke nicht, dass das "Pakete schnüren" zu guten Preis-/Leistungsverhältnissen führt.

Soweit sind die Server ja hauptsächlich Leistungspakete. Man kann dann zwischen den vordefinierten Paketen wählen und bucht dann oft zwangsweise in irgendeiner Eigenschaft mehr als man braucht, weil man ansonsten bei einer anderen Eigenschaft zu wenig hat.

Wer beispielsweise von einer Eigenschaft viel braucht, muss auch bei allen anderen Eigenschaften viel nehmen.

Mir würden beispielsweise 128 MB Arbeitsspeicher völlig reichen. Deshalb kann ich aber noch lange nicht mit einer winzigen Festplatte arbeiten. Also beanspruche ich 1 GB Arbeitsspeicher, bezahle das und brauche nur einen Bruchteil davon. Aber so kann der Rest von keinem anderen Kunden verwendet werden, weil die gesamten 1 GB nun meine sind.

Wenn wir nun aber unbenötigte Ressourcen freigeben könnten, dann ist Platz für mehr Kunden pro Hardware.

Zitat

Wie wäre es mit dem Versprechen, die Kiste offline zu nehmen bei Erfolg?

Wie wäre es, wenn sich derjenige, welcher die Sicherheitsprüfung durchführt mit demjenigen über den Preis einigt, welcher den Server betreibt?

Zitat von aRaphael

Na, du wolltest doch die Rahmenbedingungen für einen eventuellen Pentest festlegen:

Dafür gibt es solche Standardvereinbarungen, die juristisch einigermaßen wasserdicht formuliert sind. (Link)

Quasie kostenlose Rechtsberatung? Im Dokument steht zum Beispiel, dass die Vergütung in US-Dollar zu erfolgen hat. Ich komme eigentlich aus Deutschland. In welchem Land haben Sie Ihre Zulassung zum Rechtsanwalt? Können Sie mir sagen, ob die Formulierungen mit deutschem Recht vereinbar sind?

Zitat von aRaphael

Pen-Test-Vertrag

Was möchten Sie mit dem Link sagen?

Zitat von Copro

Ich fände es daher auch äußerst interessant, mit der Einverständnis von Pflichtfeld und vielleicht mit der Angabe der Dienste den Server mit dem Amateur-Pentest-Kuli zu kitzeln.

"Kuli"? Meinen Sie Kali?

Also prinzipiell bin ich kein Freund davon, alle verwendeten Dienste offen zu legen. Das müssten Sie dann selber herausfinden.

Falls Sie Interesse daran haben, mein System zu testen, dann bitte ich um eine Email. Es gibt ein paar Spielregeln, wie zum Beispiel, dass Sie bei einer erfolgreichen Übernahme vom Server die Kiste nicht verwenden dürfen, um Schaden an sonstigen Rechnern anzurichten. Aber wir sollten auch die Bezahlung/Aufwandsentschädigung klären, welche ich Ihnen bei Erfolg zukommenlassen würde.

Yes, I am running a very old version of Windows on a virtual machine from Netcup and I read that some others are running newer versions of Windows, too.

Also gut. Danke für die Hilfe.

Zitat von aRaphael

Ich hatte da mal einen interessanten Fall bezüglich ARP-Requests:

https://forum.netcup.de/administration…discher-traffic

Wenn ich Ihren Fall richtig verstanden habe, dann kamen die Anfragen auf Ihren Server im Wesentlichen von 1 Adresse.

Also bei mir kommen die ARP who-has-Anfragen im Wesentlichen von 89.58.4.3 und ein bischen von 89.58.4.2.

Da die Adressen im niederwertigsten Byte so niedrig sind, könnte es sich um irgendwelche Spezialserver handeln. Zum Beispiel Router oder soetwas.

Aber die Dinger sind meiner Meinung nach etwas zu geschwätzig.

Falls ich die Netcup-Statistik korrekt interpretiere, dann erfordert diese Geschwätzigkeit alleine auf meinem Server etwa 30 Millionen Maschinenzyklen pro Sekunde und das 24/7 ohne Abhängigkeit, ob es Tag oder Nacht ist. Was die 2 Tratschtanten von sich geben, wird aber an viele Server rausposaunt, sodass vielleicht 1 oder 2 CPU-Kerne beschäftigt werden.

Zitat von Nudelsalat

Eventuell ARP-Requests bzw. Broadcasts der Nachbarserver? Hast du mal per tcpdump geschaut?

Ja, Sie hatten recht. Da trudeln haufenweise ARP-Pakete ein. Danke für die Hilfe.

Hallo,

dem Einen oder Anderen ist doch bestimmt auch schon aufgefallen, dass unsere virtuellen Server auch bei völliger Untätigkeit jede Menge Datenpakete erhalten, also auch wenn sie nicht antworten.

Mein Server erhält beispielsweise laut NetCup-Statistik bei völliger Untätigkeit mehr oder minder konstant 60 bis 65 Pakete pro Sekunde bzw. ca. 4 Kilobyte/Sekunde und sendet 0,2 bis 0,3 Pakete pro Sekunde bzw. (zum Teil deutlich) unter 100 Byte/Sekunde.

Hat jemand die Sache mal untersucht, um herauszufinden, was da vor sich geht?

Danke.

Zitat von frank_m

Die Lücken sind aktiv auf deinem Server, vor allem die erwähnten Client Lücken. Bin gespannt, wie du den Gegenbeweis anbringen willst.

Einen Gegenbeweis kann man nur liefern, wenn davor ein Beweis geliefert wurde. Und das haben Sie nicht.

Meinen Standpunkt haben Sie bereits gelesen: Aufgrund der Art und Weise wie die Lücken funktionieren würden, falls sie überhaupt existieren, ist nicht davon auszugehen, dass sie genutzt werden können.

Die Sache mit NetBIOS hingegen kann nicht funktionieren, das hatte ich aber auch schon geschrieben und Sie haben es zitiert..

Zitat von frank_m

Zu meinem Leidwesen hast du durch diesen Beitrag noch mal dokumentiert, dass du leider von der Materie überhaupt keine Ahnung hast. Alles drei sind Lücken im Client System von Windows. Dafür musst du keinen Server ins Netz stellen, diese Schwachstellen kann man allein dadurch ausnutzen, dass der Server aufs Internet zugreift. Das sind genau die Lücken, von denen es oben hieß, dass nicht mal eine Linux Firewall vor dem Server gegen alle Schwachstellen schützen kann.

LASS ES! Es ist absoluter Wahnsinn, diesen Server direkt im Internet zu betreiben.

Sparen Sie sich bitte Ihre Beleidigungen. Ihr Kommentar, dass ich überhaupt keine Ahnung habe und wahnsinnig sei, können Sie sich nach Ihrer Aussage, dass alle Sicherheitslücken aus der Liste auf meinen Server zutreffen würden, nicht mehr leisten.

Hier diskutieren die selbsternannten Bademeister darüber, ob die alte Ente überhaupt noch schwimmen darf und beachten dabei nicht, dass die alte Ente schon seit über 10 Jahren schwimmt:

http://ontheserver.de/Downloads/entpackt/letzte%20%C3%84nderungen.txt

Entsprechend viele Hacker haben daher schon ihr Glück versucht.

Ich habe jedem das Angebot gemacht, dass ich mir Sicherheitslücken anschaue und gegebenenfalls finanziell entlohne. Irrwisch war der Einzige, welcher wenigstens sachlich versucht hat, eine Lücke zu finden. Dafür gebührt ihm mein Respekt.

Zitat von Irrwisch

Stimmt my bad, nächste https://learn.microsoft.com/en-us/security…s/2008/ms08-065

Edit: dafür gibts sogar ein Update, vlt findest Du es ja irgendwo noch, hab jetzt keine Lust mehr durch Bugs von EOL Software zu scrollen, verwende doch bitte ein aktuelles Betriebssystem deiner Wahl, Du haftest für das was auf der Kiste passiert und handelst hier grob fahrlässig...

Irrwisch, Sie sind nun der Rekordhalter im Verbreiten von Falschinformationen.

Bitte lesen Sie auch diesen Artikel, im Speziellen diese Stelle:

Zitat

By default, the Message Queuing component is not installed on any affected operating system edition and can only be enabled by a user with administrative privileges. Only customers who manually install the Message Queuing component are likely to be vulnerable to this issue.

Zitat von Irrwisch

https://de.wikipedia.org/wiki/Remote_Code_Execution

Edit: Wäre natürlich super wenn er Remote abgeschaltet würde, da bin ich ganz bei Dir.

Im Artikel steht ausdrücklich drin, dass das nicht geht. Bitte selber mal lesen.

Zitat von aRaphael

Ich weiß nicht, ob die Frage schon gestellt und evtl. beantwortet wurde:

Gibt es denn einen triftigen Grund, warum ein so altes System gewählt wurde?

Welche Umstände sprechen gegen ein aktuelles Windows oder evtl. LInux? (welches leichter abzusichern ist)

Es gibt bereits genügend Foren in welchen sich Leute gegenseitig die Köpfe einschlagen, weil jeder meint er hätte das beste Betriebssystem und andere Leute haben gefälligst das selbe Betriebssystem zu verwenden. Sie sehen doch wie es hier bereits zugeht. Warum sollen wir nun die Linux vs. Windows-Diskussion hier auch noch führen?

Zitat von Irrwisch

https://learn.microsoft.com/en-us/security…s/2009/ms09-048

Besser mal Updates einspielen, ups geht gibt es ja nicht.

PS: Aber jetzt mal ernsthaft, April April?

Im verlinkten Artikel steht, dass durch die DOS-Attacke das Betriebssystem vorübergehend lahm gelegt wäre und nach dem Angriff wieder zur Verfügung steht. Ein Kapern vom Betriebssystem wäre nicht möglich.

Zitat von frank_m

Du hast die verlinkten CVE Listen gesehen? Das sind alles Sicherheitsslücken auf deinem Server. JEDE EINZELNE. Und um deine Worte zu benutzen: sie werden sehr gut funktionieren, leider. Genug konkrete Hinweise?

Diese hier?

https://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-107/cvssscoremin-5/cvssscoremax-5.99/Microsoft-Windows-2000.html

Ja, habe ich gesehen. Sollen wir die Liste mal durchgehen, denn immerhin hat sich Irrwisch ganze 30 Sekunden Zeit genommen?

1. Eintrag: Lücke in Microsofts SMTP-Server. IIS ist aber nicht installiert und kann daher nicht ausgenutzt werden.

2. Eintrag: Genau das Selbe

3. Eintrag: Aktualisierungsproblem im DNS-Zwischenspeicher. Der Server ist weitgehend passiv und macht nur in den seltensten Situationen überhaupt eine DNS-Abfrage.

4. Eintrag: Problem mit WINS-Server. NetBIOS ist bei mir deaktiviert.

5. Eintrag: Lücke in WinHTTP. Der Server surft allerdings nicht im Internet, sodass die Lücke genutzt werden könnte.

Und so geht es fort.

Ich merke schon, zum Thema "Sicherheit" gibt es sehr starke persönliche Meinungen.

Zitat von H6G

Gefunden: Windows 2000

Aber jetzt mal im Ernst: da muss ich mir nur NETBIOS angucken und schon gibt es dafür ausnutzbare Sicherheitslücken

Ja, NetBIOS ist für seine Lücken bekannt. Das ist aber auf dem Server deaktiviert.

Zitat von Virinum

Ich kümmere mich mal um die wichtigeren Fragen:

https://forum.netcup.de/sonstiges/smal…ema/#post158406

Danke.

Also, ich habe nun eine Menge Kommentare in der Form "das ist alt, also ist es unsicher" gelesen. Als ich nachgefragt hatte, welche Sicherheitslücke konkret existiert, kam nichts, nur "da wird es schon etwas geben".

Wie gesagt, für einen konkreten Hinweis bin ich dankbar. Aber einfach nur aus prinzipiellen Gründen auf Windows 2000 rumhacken und sich drüber lustig machen, finde ich als Windows 2000 Fan nicht so hilfreich.

Früher hatte ich Linux verwendet, aber da hat sich jeder Hacker drauf spezialisiert, sodass es bei meinen begrenzten Linuxkenntnissen zum ständigen Sicherheitsalptraum geworden ist. Seit ich Windows verwende, gab es keine Probleme mehr. Das heißt nicht, dass Windows 2000 perfekt ist, aber das ist kein Betriebssystem. Wenn es irgendwo eine echte Lücke gibt, dann bitte melden. Eventuell lass ich dann auch ein entsprechendes finanzielles Dankeschön springen.

Aber bitte per Privatnachricht oder Email.