[HaBo]

3.11

Anzeige

Hi,
ich habe eine Frage, um mehr über die Sicherheit meines Netzwerkes zu erfahren, möchte ich den versuch starten dieses zu Hacken bzw. an sensible daten heranzukommen. (ich muss dazu sagen, dass ich mich mit Netzwerksicherheit nicht soo auskenne).
Nun ja, ich habe versucht einen angriff so realistisch wie möglich nachzustellen. Dabei habe ich einiges herausgefunden, wozu viele "öffentliche" Persönliche Daten gehören. Nun möchte ich, als durchtriebener "böswilliger" hacker natürlich auch in das Netzwerk kommen um an noch wertvollere Informationen zu gelangen.

Folgendes Szenario:

1. Ich suche nach der Email Adresse meines Ziels.
Schreibe eine Email an diese Adresse (Ziel ist eine Firma und mit ein bischen Socialising wird geantwortet) und komme so an die IP!

Ich habe es mit unserem Netzwerk getestet und es hat natürlich funktioniert.

Frage 1: Würde ein Hacker das auf ähnliche weise machen?

Frage 2: Würde man imstande sein durch das wissen über die Ip eine Man in the middle attacke starten zu können? (um so zb. mit bekannten sniffern smtp passwörter zu klauen etc. die möglichkeiten sind dann ja quasi grenzenlos ihr kennt das ja mit den Passwörtern^^)

Vieelen Dank für eine Antwort. Ich arbeite in einem kleinen betrieb...also IT und Sicherheit?...da interessiert sich doch keiner für...aba wenn auf einmal unser Sourcecode chinesisch kann dann ist der ärger gross =)

greez
3.11

fetzer

Ich muss gestehen, ich verstehe dein Problem nicht.
1) Du schreibst eine Email an einen Server, um an die IP Adresse herauszubekommen?
2) Ein MITM-Angriff wirst du im Internet nur erschwert erreichen, z.b. durch Cache Poisoning, durch einen falschen Eintrag in der Host-Datei des Opfers oder gar durch eine Manipulation des Routers, durch den der Verkehr fliesst. Im Internet ist die Wahrscheinlichkeit aber eher klein, dass du auf diese Router Zugriff hast. Cache Poisoning oder den Eintrag in der Host-Datei ändern ist auch recht unwahrscheinlich, da du beides mal Zugriff auf die jeweiligen Maschinen bräuchtest.
Wäre ja nicht auszudenken, was passieren würde, wenn man nur mittels der IP einen MITM starten könnte...

3.11

vielen dank für die antwort.

1. Stimmt! Ganz nach newbie manier wollte ich die derzeit aktuelle IP erfahren unter der mein "opfer" im Internet angemeldet ist. Dazu schrieb ich eine möglichst realistische Anfrage per Email, bekam eine antwort und so bekam ich die IP...

Ich denke das ist doch eine realistische version um sein gegenüber ersteinmal zu lokalisieren (?!)...jetzt könnte man ja Portscanner usw. laufen lassen um weitere Informationen über Aufbau und Struktur vom Netzwerk zu erhalten.

2. achso

Nun was ich herausfinden will ist, wieviel aufwand es benötigt in unser Netzwerk einzubrechen und auf welchem wege das geschehen würde?

Was würde man den realistischerweise mit dem wissen um unsere IP anfangen können?

brain21

Mit der IP könnte man schauen welche Dienste das Netzwerk anbietet (Webseite, FTP-Server etc.) und schauen ob diese Applikationen bekannte Sicherheitslücken aufweisen, also immer schön up to date bleiben.

Ich denke ein Firmennetzwerk wird viel mehr über Schädlinge im Anhang einer E-mail (o.ä.) angegriffen. So kann man weiteragieren, als würde man mit einem Computer intern angeschlossen sein. Und dann ist auch z.B. ein MITM-Angriff leicht.

3.11

wir haben in der tat einen slimftpd server der von "draussen" erreichbar ist (in der neusten Version mit komplizierten passwörtern) ist slimftpd sicher oder sind dort viele lücken bekannt?
Diesen sieht man auf jeden fall wenn man einen portscan durchführt sofort (hab ich getestet) und erkennt sogar die version.

fetzer

naja die Sicherheit kannst du ja selbst feststellen, indem du beispielsweise bekannte "Hacking"-Seiten ( milw0rm,.. ) oder Bug-Listen ( bugtraq,... ) nach Exploits oder Bugs durchsuchst. Die Frage ist: Wer greift von aussen auf diesen FTP zu? Wenn es nur Mitarbeiter sind, dann liesse sich ein SSH-Server besser verwalten und wäre auch um Längen sicherer. Wie du oben geschrieben hast, werdet ihr auf euer Firmen-Netzwerk keine Domain geschaltet haben ( ansonsten würdest du ja nicht versuchen, die IP über Email herauszubekommen... ), desshalb denke ich mal, dass dieser FTP eigentlich doch überflüssig ist.

3.11

Ich muss gestehen das ich diese seiten nicht kenne
Nein wir besitzen keine lokale Domain.

Jap der FTP ist wie angenommen nur für mitarbeiter. Deswegen sind die daten auch sensibel an die man kommen könnte.
Wir setzen FTP wegen seiner einfachheit in verbindung mit dyndns ein. Prinzipiell geht es nur darum, das wir jederzeit von überall über unsere infos verfügen können obwohl das selten genutzt wird ... wenn mans dann braucht ist man froh sowas zu haben

Also wäre eigentlich ein FTP getunnelt durch ssh dein vorschlag?

EDIT: Also ich hab mal geschaut derzeit sind soweit ich gesehen habe keine Fehler für slimftpd unserer version bekannt (bis zum nächsten fuzzer fund).

Wie es aussieht wäre demnach nur ein hacken über einen trojaner möglich, oder gibt es noch andere Lücken die ein Profi ausnützen würde?

hamill

www.bmit.org
www.bsi-fuer-buerger.de
www.hackers4hire.de

soweit man bei Euch eine Ferndiagnose wagen darf, sage ich mal,
ihr braucht dringend professionelle Hilfe.
Also jemand, der euch einen Tag lang besucht, und euch euer eigenes Internet erklärt, und was heute der Stand der Technik ist. Nein, telnet und ftp sind es nicht :-)
Und der euch natürlich ein paar Mark kosten wird, deswegen werdet ihr diese Schulung wahrscheinlich "machen wir ganz dringend" in alle Ewigkeit vor euch herschieben.

3.11

Hi,
danke für die tipps...ich bin überzeugt das unser system "sicher" ist und nein wir haben keinen spackigen rosa t router bei uns hängen. Der FTP ist von mir bereits überholt worden und unserem Ken server kann ich glaub ich auch alleine richtig konfigurieren. ^^

Nein ich stelle die frage ja nicht ohne grund in diesem forum, mich interessiert welche potenzielle Lücken ihr seht.

hamill

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

das fand ich erstaunlich ergiebig

3.11

aha...
ich dachte schon ich könnte hier eine ernste antwort erwarten...naja

EDIT: sry...war voreilig...der hinweis ist ernst.

fetzer

Ich denke schon, dass der Post einen Sinn hatte. Z.B. würde ich einen normalen FTP niemals von aussen zugänglich machen, wenn er nur für Mitarbeiter da ist. FTP ist ein sog. plaintext Protokoll, was bedeutet, dass die Daten unverschlüsselt übertragen werden. Das birgt wiederum das Risiko in sich, dass Passwörter und Usernamen gesnifft und für möglicherweise bösartige zwecke missbraucht werden können. Von dem her denke ich: Ein einfacher, abgesicherter SSH Server mit SCP/SFTP-Funktion würde das ganze erheblich sicherer machen und durch WinSCP ( ich nehme mal an, von eureren Mitarbeitern nuzt niemand Linux, MacOS, und Konsorten ) wäre das ganze auch noch mit einem normalen FTP Programm zu vergleichen.
Das wäre nur ein Beispiel für ein Angriffsszenerio. Natürlich gibt es noch 1000 andere, beispielsweise einen Trojaner innerhalb des Netzes,...

3.11

Ich stimme dir 100% zu.
Ich weiß um die unsicheren übertragungswege, was ich mir nicht bewusst war, dass man ohne mitm (die nur sehr schwer im www durchführbar ist) die ftp-connection sniffen könnte?
Der FTP ist seit heute nacht vom netz.
Was eher noch ein fettes problem für uns darstellt ist, das wir einen smtp server im web einsetzen...d.h. smtp username/passwörter werden als plain text übermittelt. Die frage ist nur, wie könnte man da sniffen?

fetzer

POP3/SMTP/IMAP über SSL, Email Verschlüsselung mittels PGP ( z.b. Enigmail-Plugin für Thunderbird ), usw. Sorry, wenn ich das nun so plump heraussage: Aber langsam fange ich an zu zweifeln, ob eure Server wirklich sicher konfiguriert sind, wenn es schon an den öffentlichen Diensten mangelt.

3.11

bei den smtp connections geht es um die privatemailadressen der crew die sich mit outlook bei gmx usw. anmelden um die privaten emails ziehen.
PGP ist für mich keine alternative, wichtig ist für mich hauptsächlich die verschlüsselung der Login daten, was die leute in ihren emails schreiben, dafür sind sie verantwortlich, auch ob das verschlüsselt ist oder nicht.

Ich weiß nicht ob man das als unsicher bezeichnet aber am besten schreibe ich einfach mal unsere Konfigurationen:

1 Server der als router fungiert. auf diesem läuft AVM Ken in der neusten version(natürlich mit firewall, keine extra ports offen).
Ansonsten haben wir keine services laufen. Bisher gab es noch einen FTP listening aber der ist wie gesagt auch samt port abgeschalten.
Die einzigste sache wo ich noch eine wirklich leicht auffindbare lücke vermute ist, das die login daten über smtp gesnifft werden könnten und man auf die idee kommt das man passwörter ja öfters einsetzen könnte als nur in seinem gmx konto^^

Edit: deshalb meine frage wie man ohne mitm status diese Infos "ersniffen" könnte?[/EDIT]

@fetzer
vielen dank, ich bin mir bewusst, das auch ich mich sehr lange in falscher sicherheit gewiegt habe...deswegen ist es richtig das du das so sagst.