[HaBo]

techniker · 09.05.06, 18:21

Hallo!
Grad schlug mein Netzwerk Monitor Alarm, dass es sehr viele SSH- Verbindungsaufrufe gäbe.
Mal mit Ethereal reingeschaut, und gemerkt, das eine IP (66.70.109.109) jede sec. 2 Connects versucht.

Auf der fremden IP läuft auch ein Webserver mit div. Diensten.
Nach einer Rückverfolgung, scheint die IP aus "Jersey City" in der Nähe von New York zu kommen.
Kann man das als Attacke werten?

Danke ;)
Björn

son-goku · 09.05.06, 19:07

mal ne frage wie hast du die ip zurück verfolgt?

Anzeige

- Anzeige -

09.05.06, 19:59

@techniker

Wenn die loginversuche mit usern wie: guest, root, admin, mysql, user etc. probiert werden- dann gehoert die Kiste entweder jemanden der deine Kiste knacken will- oder viel wahrscheinlicher- jemandem dessen Kiste schon geknackt worden ist.

Attacke = ja, aber harmlos solange deine Passwoerter gut -und deine Services gepflegt sind

netterweise koenntest du dem admin der Kiste ja mal ne mail mit deinen logs schicken.

techniker · 09.05.06, 21:18

Das werde ich ihm mal schicken

Per BruteForce bekommt man das Passwort in absehbarer Zeit
sowiso nicht raus

Danke :]

2Bios · 09.05.06, 21:57

kleiner tip am rande zur sicherheit: ersetzte in /etc/shadow den hash von root durch ein anführungszeichen. damit kannst du anmeldungen per root verbieten

techniker · 09.05.06, 23:20

@son-goku
-> Das geht unter Windows prima, und einigermaßen zuverlässig (bei welchen Provider die IP registriert ist) mit NeoTrace.
Da gibts dann ne Node, List oder Map-Darstellung.
In der Node/List-Darstellung siehst du, Welche Router im Internet bist zur Ziel IP durchlaufen werden.
Die Map-Darstellung, zeigt das alles Grafisch auf einer Weltkarte.

@2Bios
-> Danke für den Hinweis, das Verfahren hab ich auf meinem Mail-Server angewandt.
Nur kann ich es nicht auf dem Web, Jabber, etc. sperren, da ich als root von meinem PDA aus der Schule noch rein muss.

Danke

crystal · 10.05.06, 13:39

@techniker:
einfach in der /etc/ssh/sshd_config "PermitRootLogin no" eintragen, und schon kann sich keiner mehr direkt per SSH einloggen.
würde ich vorschlagen, weil das einfach sicherer ist (zusätzlich vielleicht noch den port auf 5362 oder sowas umlegen).

und einloggen kannst du dich dann immernoch, nur dann zuerst als normaler SSH-user und dann "su" & root-passwort eingeben und du bist als root drin

cYa

Anzeige

- Anzeige -

09.05.06, 18:21	#1 (permalink)
techniker Registriert seit: 15.06.05 Likes: 0	Mögliche Attacke Anzeige Hallo! Grad schlug mein Netzwerk Monitor Alarm, dass es sehr viele SSH- Verbindungsaufrufe gäbe. Mal mit Ethereal reingeschaut, und gemerkt, das eine IP (66.70.109.109) jede sec. 2 Connects versucht. Auf der fremden IP läuft auch ein Webserver mit div. Diensten. Nach einer Rückverfolgung, scheint die IP aus "Jersey City" in der Nähe von New York zu kommen. Kann man das als Attacke werten? Danke ;) Björn

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Mögliche Zahlenkombinationen	Schnappes	Cryptography & Encryption	39	25.05.12 23:25
Mögliche IP Adressen ?	Bogus	Network · LAN, WAN, Firewalls	3	18.04.06 14:37
mögliche schwachstelle?	Chakky	(Web-) Design und webbasierte Sprachen	5	26.06.04 01:29
Mögliche Sicherheitslücke bei Pegasus Mail?	STeFaN	News & Ankündigungen	0	27.07.02 01:04

09.05.06, 19:07	#2 (permalink)
son-goku Registriert seit: 18.12.05 Likes: 0	mal ne frage wie hast du die ip zurück verfolgt?

09.05.06, 19:59	#3 (permalink)
Gulliver Guest Likes:	@techniker Wenn die loginversuche mit usern wie: guest, root, admin, mysql, user etc. probiert werden- dann gehoert die Kiste entweder jemanden der deine Kiste knacken will- oder viel wahrscheinlicher- jemandem dessen Kiste schon geknackt worden ist. Attacke = ja, aber harmlos solange deine Passwoerter gut -und deine Services gepflegt sind netterweise koenntest du dem admin der Kiste ja mal ne mail mit deinen logs schicken.

09.05.06, 21:18	#4 (permalink)
techniker Themenstarter Registriert seit: 15.06.05 Likes: 0	Das werde ich ihm mal schicken Per BruteForce bekommt man das Passwort in absehbarer Zeit sowiso nicht raus Danke :]

09.05.06, 21:57	#5 (permalink)
2Bios Senior Member Registriert seit: 28.08.05 Likes: 0	kleiner tip am rande zur sicherheit: ersetzte in /etc/shadow den hash von root durch ein anführungszeichen. damit kannst du anmeldungen per root verbieten

09.05.06, 23:20	#6 (permalink)
techniker Themenstarter Registriert seit: 15.06.05 Likes: 0	@son-goku -> Das geht unter Windows prima, und einigermaßen zuverlässig (bei welchen Provider die IP registriert ist) mit NeoTrace. Da gibts dann ne Node, List oder Map-Darstellung. In der Node/List-Darstellung siehst du, Welche Router im Internet bist zur Ziel IP durchlaufen werden. Die Map-Darstellung, zeigt das alles Grafisch auf einer Weltkarte. @2Bios -> Danke für den Hinweis, das Verfahren hab ich auf meinem Mail-Server angewandt. Nur kann ich es nicht auf dem Web, Jabber, etc. sperren, da ich als root von meinem PDA aus der Schule noch rein muss. Danke

10.05.06, 13:39	#7 (permalink)
crystal Registriert seit: 02.08.05 Likes: 0	@techniker: einfach in der /etc/ssh/sshd_config "PermitRootLogin no" eintragen, und schon kann sich keiner mehr direkt per SSH einloggen. würde ich vorschlagen, weil das einfach sicherer ist (zusätzlich vielleicht noch den port auf 5362 oder sowas umlegen). und einloggen kannst du dich dann immernoch, nur dann zuerst als normaler SSH-user und dann "su" & root-passwort eingeben und du bist als root drin cYa

[HaBo]

Mögliche Attacke