Bekijk Volledige Versie : ftp attack
hallo
Wij hebben momenteel verschillende inbraken vanuit Rusland
ze plaatsen een php script op de server om spammails te versturen.
Bestaat er een script om de ftp connecties te monitoren, bij meerdere authentication failure het IP blokken voor bv: 2 uur
of zijn er andere oplossingen
server : Centos met Plesk
MarkKapitein
03/09/13, 22:29
Als het een directadmin machine betreft heb je in combinatie met CSF en LFD een goede block mogelijkheid.
http://configserver.com/cp/csf.html
Deze is voor Directadmin, Cpanel & webmin te gebruiken.
Hostbedrijf.nl
03/09/13, 22:40
Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.
Een goede firewall, zoals MarkKapitein al voorstelde kan je wel (enigszins) redden. En zo snel mogelijk het gehele server nalopen, indien mogelijk het beste zou zijn om nieuwe hosting pakket / VPS af te nemen en te migreren waarbij je wachtwoorden veranderd, liefst met iets volledig random zoals http://strongpasswordgenerator.com/ bijvoorbeeld wachtwoord als 85"5k>Y{.42ZBUE
Succes!
@hostbedrijf, Filezilla is een FTP programma. Je stelling klinkt net zo als 'ze gebruiken Logitech toetsenbord om binnen te glippen' hoor.
Indien je je eigen PC onbeschermd is, kan je net zo goed elke willekeurige FTP programma (zoals bijvoorbeeld FileZilla gebruiken) - maar je blijft net zo lek als wat hoor.
Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.
Lezen is blijkbaar een kunst, maar wat heeft DA hier mee te maken als de TS PLESK gebruikt.
websiteondemand
04/09/13, 00:01
fail2ban..... of je nu DA, Plesk of wat dan ook draait.
~A
MarkKapitein
04/09/13, 01:54
Omdat je later poste dat je plesk gebruikt ben ik even op google gaan zoeken.
1. http://www.diademblogs.com/linux/csflfd-installation-for-plesk (Dit is wel een command versie install van CSF en LFD)
Als je wilt gebruik maken van fail2ban als websiteondemand beschrijft.
Kijk hier dan even! http://www.shaunfreeman.co.uk/install-fail2ban-on-centos-6-with-plesk/
Daar staat uitgelegt hoe jij fail2ban kan instellen op ssh,ftp en je mail systeem.
Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.
Zou jij me kunnen vertellen hoe ze "binnen glippen via filezilla", daar ben ik toch wel heel erg benieuwd naar..
In onze ervaring komen vrijwel alle geslaagde van zulke ftp hacks NIET door dergelijke Brute Force aanvallen (allerlei wachtwoorden uitproberen), maar doordat op de computer van de ftp-er keylogger software is geinstalleerd. Je vermeldt overigens niet of het gaat om een aanval op een ftp-account of op verschillende. In het geval van één ftp-account is fail2ban al een oplossing, worden meerdere ftp-accounts massaal geprobeerd vanuit verschillende ip-nummers (botnet aanval), dan is er iets anders aan de hand. Keuze van ftp-loginnaam kan al verschil maken (niet al te voor de hand liggend), immers via bepaalde sites valt te zien welke sites gehost worden op hetzelfde ip-nummer.
Zou jij me kunnen vertellen hoe ze "binnen glippen via filezilla", daar ben ik toch wel heel erg benieuwd naar..
Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.
Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.
Maar dat heeft dan weer niets met filezilla zelf te maken maar met malware..
Heb ook al een paar keer meegemaakt dat zoiets voorkwam, eerste login was direct raak, moet dus gelogd zijn geweest.
Daarna als test een test account aangemaakt en via android ftp client een paar keer ingdlogd en wachten..... Na 3 weken was het raak, en niet te raden username en password aangemaakt en eerste login was meteen raak.
Kan aan de app gelegen hebben, maar je komt ook vaak op plekken waar wifi ik weet niet in hoeverre dat gesnift kan worden.
Maar doe het voor de zekerheid niet meer via mobiel
Sent from my Nexus 4 using webhostingtalk mobile app
Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.
Zoals phreak al aanhaalt heeft dat 0,0 met filezilla te maken, maar gewoon met een verouderd clear text protocol (ftp). Zoals ik in eerdere topics ook al vermeld heb maakt het niet uit of die file encrypted is of niet, als je malware op je pc hebt zijn er 1001 manieren om aan het wachtwoord te geraken. Gaande van keyloggers tot tcpdumps of zelf man in the middle attacks waar geen toegang tot de client pc of server nodig is, maar enkel een afgetapte verbinding tussen de client en server.
maar je komt ook vaak op plekken waar wifi ik weet niet in hoeverre dat gesnift kan worden.
En bij open wifi/hotspots is het nog nooit in je opgekomen om eerst een vpn verbinding te maken of geen clear text protocols te gebruiken? De makkelijkste manier om aan wachtwoorden en logins te geraken is juist via hotspots waar een man in the middle alle clear text zaken kan zien. Even de meer geavanceerde wifi capture tools buiten schot gelaten.
ze proberen alle login en wachtwoord combinaties uit
via de php scripten op de webhosting van klanten voeren ze het volgende uit scriptnaam.php?/etc/passwd
scriptnaam.php is bv de weergave van producten op de website
traffic va wifi kan gemakkelijk gesnift worden
SebastiaanStok
04/09/13, 20:12
Een goede firewall, zoals MarkKapitein al voorstelde kan je wel (enigszins) redden. En zo snel mogelijk het gehele server nalopen, indien mogelijk het beste zou zijn om nieuwe hosting pakket / VPS af te nemen en te migreren waarbij je wachtwoorden veranderd, liefst met iets volledig random zoals http://strongpasswordgenerator.com/ bijvoorbeeld wachtwoord als 85"5k>Y{.42ZBUE
Succes!
@hostbedrijf, Filezilla is een FTP programma. Je stelling klinkt net zo als 'ze gebruiken Logitech toetsenbord om binnen te glippen' hoor.
Indien je je eigen PC onbeschermd is, kan je net zo goed elke willekeurige FTP programma (zoals bijvoorbeeld FileZilla gebruiken) - maar je blijft net zo lek als wat hoor.
Ik zou die password generator niet gebruiken want intern word gebruik gemaakt van Math.random() welke niet cryptografische veilig is.
http://security.stackexchange.com/questions/20029/generate-cryptographically-strong-pseudorandom-numbers-in-javascript
Als de bron niet random genoeg is het mogelijk de uitkomst te raden en is het wachtwoord als nog niet veilig.
En ja de kans hierop is erg klein, maar reëel aanwezig en bij cryptografie kan je echt geen risico's nemen!
websiteondemand
04/09/13, 20:37
ps, welke plesk versie draaien we.. en heeft deze server gedraaid.
volgens mij is destijds via plesk 0day je niet encrypte psa database gejat en dus ook alle ftp inlog gegevens...
~A
Dries.Pattyn
04/09/13, 21:00
Wij hebben vandaag ook enkele klanten opgemerkt dat zomaar spam verstuurden vanuit een php script.
Dat php script werd geplaatst via het ftp account.
Er is geen verband tussen die klanten.
Misschien gaat het om een virus dat de paswoorden kon achterhalen op de pc van de klant.
Dries,
Is blijkbaar hetzelfde fenomeen
Als je de access log bekijkt zie je het volgende, ze proberen achter de wachtwoorden te achterhalen
199.48.130.34 - - [03/Sep/2013:16:02:30 +0200] "GET /index.php?cPath=../../../../../../../../../../proc/self/environ HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:30 +0200] "GET /product_info.php?cPath=../../../../../../../../../../proc/self/environ&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:30 +0200] "GET /dynmenu.php?pg=../../../../../../../../../../proc/self/environ HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:31 +0200] "GET /index.php?cPath=/../../../../../../../../../../proc/self/environ%00 HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:31 +0200] "GET /product_info.php?cPath=/../../../../../../../../../../proc/self/environ%00&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:32 +0200] "GET /dynmenu.php?pg=/../../../../../../../../../../proc/self/environ%00 HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:32 +0200] "GET /index.php?cPath=/etc/passwd HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:32 +0200] "GET /product_info.php?cPath=/etc/passwd&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:32 +0200] "GET /dynmenu.php?pg=/etc/passwd HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:33 +0200] "GET /index.php?cPath=/etc/passwd%00 HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:33 +0200] "GET /product_info.php?cPath=/etc/passwd%00&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:33 +0200] "GET /dynmenu.php?pg=/etc/passwd%00 HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:33 +0200] "GET /index.php?cPath=../../../../../../../../../../etc/passwd HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:34 +0200] "GET /product_info.php?cPath=../../../../../../../../../../etc/passwd&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:34 +0200] "GET /dynmenu.php?pg=../../../../../../../../../../etc/passwd HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:37 +0200] "GET /index.php?cPath=/../../../../../../../../../../etc/passwd HTTP/1.1" 200 35296 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:37 +0200] "GET /product_info.php?cPath=/../../../../../../../../../../etc/passwd&products_id=404 HTTP/1.1" 200 23667 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
199.48.130.34 - - [03/Sep/2013:16:02:38 +0200] "GET /dynmenu.php?pg=/../../../../../../../../../../etc/passwd HTTP/1.1" 200 22552 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2.14) Gecko/20110218 Firefox/3.6.14"
Dries,
Is blijkbaar hetzelfde fenomeen
Als je de access log bekijkt zie je het volgende, ze proberen achter de wachtwoorden te achterhalen
Als je iets of wat van linux kent dan weet je dat daar geen wachtwoorden in staan, enkel gebruikersnaam + uid + gid, home directory's en type shell. De eigenlijke wachtwoorden staan in de shadow file en als het goed is dan is deze enkel toegankelijk voor de root user.
dreamhost_nl
05/09/13, 10:07
Probeer PHP eens te compileren via mod_security.
Als ze de gebruikersnamen al hebben zijn ze al een stuk verder, alleen de wachtwoorden nog achterhalen.
mod_security is reeds enkele jaren geïnstalleerd.
We hebben bfd geïnstalleerd, we zien nu brutforce ftp attack vanuit Rusland
SebastiaanStok
05/09/13, 11:00
Probeer PHP eens te compileren via mod_security.
Uh volgens mij haal je nu twee dingen voor elkaar. mod_security is een Apache module die niks met PHP te maken heeft.
Bedoeld je niet PHP Suhosin of php safe-mode?
PHP-safemode is overigens de slechte denkbare beveiliging.
Niet alle extensies ondersteunen het, het breekt tal van websites en is verwijderd in PHP 5.4
http://www.pfz.nl/wiki/safe-mode/
dreamhost_nl
05/09/13, 19:49
mod_security is reeds enkele jaren geïnstalleerd.
En is deze ook werkend? M.a.w. zie je IP-adressen ook daadwerkelijk geblokkeerd worden?
dreamhost_nl
05/09/13, 19:51
Bedoeld je niet PHP Suhosin of php safe-mode?
Nee, ik bedoelde dat Apache gecompileerd diende te zijn met mod_security. Foutje van mijn kant.
Hetgeen TS in zijn logs vindt, zal mod_security automatisch blokkeren.
Behalve dan dat er ergens een FileZilla download is met de keylogger al ingebouwd. En, nee, ik weet nog steeds niet waar. Nadat enkele gebruikers hier bleven "besmet" worden, ben ik eens hun installer gaan bekijken. Op 't eerste zicht geen clue over wat de herkomst is.
Ik lig er ook niet echt van wakker. Gebruikers die niet eens beseffen dat het Open Source is en zoeken naar een gekraakte versie, zullen altijd wel slachtoffer worden van iets of iemand. Zullen we ze de Darwin award geven?
Als je iets of wat van linux kent dan weet je dat daar geen wachtwoorden in staan, enkel gebruikersnaam + uid + gid, home directory's en type shell. De eigenlijke wachtwoorden staan in de shadow file en als het goed is dan is deze enkel toegankelijk voor de root user.
Dit had een "like" verdiend. Maar om één of andere reden werkt dat niet vandaag.
Cudo to sebastiaan en den baas, die proberen enige rede te houden in deze oceaan van veronderstellingen.
Als je iets of wat van linux kent dan weet je dat daar geen wachtwoorden in staan, enkel gebruikersnaam + uid + gid, home directory's en type shell. De eigenlijke wachtwoorden staan in de shadow file en als het goed is dan is deze enkel toegankelijk voor de root user.
Op versies van de laatste jaren is dit inderdaad het geval. Indien er geen encryptie gebruikt wordt kan het wachtwoord wel degelijk in /etc/passwd staan, een encrypted wachtwoord in /etc/shadow wordt meestal aangegeven door een x op de tweede positie. Bij alle moderne Linux versies waar ik mee heb gewerkt is encryptie van de wachtwoorden overigens standaard (in /etc/shadow).