Versuche den FTP-Server zu "hacken" und DynDNS

[wolder]

kann es sein, dass ich mir mit dem Programm die Ports zu gemacht habe?
Ich kann weder auf dem Webserver, auf port 22 noch auf port 21 zugreifen!

Die Verbindung ist ok!
Habs gerade telefonisch nachgefragt.

gruß wolder

[newbiefan]

Ja, kann schon sein - nach 3 x Verbindungsaufbau ist die IP für 3 Minuten geblockt.
Nach wenigen Minuten erfolgt wieder eine automatische Entsperrung
Newbiefan

[wolder]

Ich habs aber auch schon nach 3 min wieder versucht.
Immer das gleiche...

Kann es an meiner IP liegen.
Die liegt im 62.72.... Bereich?
Ist die zufällig im der host.deny mit aufgeführt.
Ich weiß, das eine im 62...-Breich aufgelistet ist, aber ich weiß nicht, ob alle aus dem 62.x.x.x bereich gesperrt werden.

Gruß wolder

[newbiefan]

Ich habs aber auch schon nach 3 min wieder versucht.
Immer das gleiche...

Kann es an meiner IP liegen.
Die liegt im 62.72.... Bereich?
Ist die zufällig im der host.deny mit aufgeführt.
Ich weiß, das eine im 62...-Breich aufgelistet ist, aber ich weiß nicht, ob alle aus dem 62.x.x.x bereich gesperrt werden.

Gruß wolder

Die IP 62.72.x.x wird nicht gesperrt, lediglich 62.14.x.x
Keine Bange, einfach systematisch vorgehen.

In der nachfolgenden Ausgabe muss ipt_recent zu finden sein:
ls /lib/modules/2.4.37/

Dann wie bereits geschrieben
/opt/sbin/avbf &

in die /tmp/local/sbin/post-mount schreiben, unmittelbar vor der Zeile /opt/etc/init.d/rc.unslung

danach einmal:
flashfs save
flashfs commit
flashfs enable
reboot

Nach dem Reboot nochmals einloggen und mit
lsmod
nachsehen, ob das Modul ipt_recent geladen ist.

Ist soweit alles in Ordnung, Kontrolle mit
iptables -nv -L

Falls sich etwas anderes zeigt oder meldet, bitte Nachricht, wenn es geht ebenfalls. Du kannnst die Funktion nur von extern probieren, intern funktioniert das nicht.
Wenn du drei mal einen Zugriff innerhalb von 3 Minuten aufbaust, wirst du fuer drei Minuten geblockt. Achtung bei FTP-Verbindungen, die bauen manchmal viele parallele Verbindungen auf - steht eine Verbindung, wird diese nicht mehr gezaehlt.

Hinweis:
Wenn du eine Fritzbox benutzt, erlaube auf die Fritzbox einen https Zugriff von aussen und waehle einen seltenen Usernamen und ein super Passwort. Dann sperre ich den Port 22 auf den Asus. Wenn ich einen Zugang brauche, kann ich diesen von extern auf der Fritzbox oeffnen, das war fuer mich die endgueltige Loesung, nebst einem Eintrag in die Robots Datei, dass kein Suchdienst meine Seiten indiziert.
Seitdem ist absolute Ruhe - kein einziger, verdaechtiger Eintrag mehr im Syslog.

LG
Newbiefan

P.S. Script Kiddies scannen im Netz meist nur Port 21/22.
So sieht z.Bspl. meine Iptables -nv -L nach einem Tag aus.
Die SSH Verbindung war fuer ca. 4 Stunden offen. Wenn ich an frueher denke - da waren tausende Eintraege am Abend...........heute fast nichts mehr.

[wolder]

In der nachfolgenden Ausgabe muss ipt_recent zu finden sein:
ls /lib/modules/2.4.37/

1. Fehler:
Das modul heißt bei mir nicht 2.4.37 sondern 2.4.37.5, warum auch immer?!
Ich habs händisch in avbf geändert. Und gleichzeitig auch den Port für lighttpd, der noch auf 8081 stand. (8000 auf 8081 geändert)

Dann wie bereits geschrieben
/opt/sbin/avbf &

2. Fehler:
Ich dachte das & hätte nix zu bedeuten. Hatte ich weggelassen.

in die /tmp/local/sbin/post-mount schreiben, unmittelbar vor der Zeile /opt/etc/init.d/rc.unslung

3. Fehler:
war natürlich dahinter...

Ob die Iptables in Ordnung ist, kann ich so nicht beurteilen.
Aber das sieht schon mal ganz gut aus.
Ich häng sie aber mal mit an.

Ich habs jetzt mal ausprobiert.
Mit Putty angewählt und 4! mal versucht falsch einzuloggen.
Danach konnte keine Verbindung mehr hergestellt werden.

Scheint also zu klappen! Wenn auch nur nach dem 4. Mal! Aber egal.

Beim FTP ist es wirklich nach 3 mal.
Egal. Es scheint zu funktionieren.
Ich werd mir morgen nochmal das syslog anschauen.

Den Hinweis kann ich leider nicht befolgen.
Die Fritzbox gehört nicht mir, sondern meinem Nachbarn.
Da will ich nicht zu viel ändern, sonst gibts Ärger.
Aber ich hab die Portweiterleitung geändert. Jetzt darf Putty nicht mehr mit dem Standardport geöffnet werden, sondern ein anderer Port benutzt werden.
Mal schauen ob es sich bessert!

Vielen, vielen Dank für die Geduld und gute Hilfe!
Ich meld mich morgen nochmal, ob es wirklich geklappt hat.

Danke und schöne Grüße
wolder

[wolder]

Sorry,
iptables vergessen

[newbiefan]

Sorry,
iptables vergessen

Perfekt, jetzt geht es - freut mich.

Man sieht sofort, ob jemand in der Brute Chain geblockt wurde.
Gratuliere
LG Newbiefan

[newbiefan]

@wolder

Sorry, hatte einen kleinen Fehler in den Postings vorher.
Stelle in der vsftpd.conf folgende Zeilen um bzw. hinzu fuegen:

max_login_fails=1
delay_failed_login=15
use_localtime=yes
ftpd_banner="welcome to wolders ftp server, be aware everything is logged"

Erklaerung:
max_login_fails laesst eine Verbindung zu, wenn falscher Login muss man delay_failed_login Sekunden warten, bis eine neue Verbindung aufgebaut werden kann.
use_localtime stellt die Zeit richtig (wird sonst an der Gegenstellt falsch angezeigt).
Und ftpd_banner wird immer bei Verbindungsaufbau an die Gegenstelle uebermittelt.

Vergiss nicht
flashfs save
flashfs commit
flashfs enable
reboot

Zusammen mit avbf bist du sehr sicher unterwegs........
LG
newbiefan

[wolder]

Vielen Dank.

Das funktioniert soweit ganz gut.
Ich hab noch nen Problem mit dem Cronjob!
Hier ein Eintrag aus dem syslog:

cron[381]: (CRON) DEATH (can't lock /opt/var/run/cron.pid, otherpid may be 160: Resource temporarily unavailable)

Hab folgenden Eintrag in der crontab:

*/1 * * * * root /opt/sbin/logwrite.sh

Ich wollte das der das minütlich ausführt, erstmal um zu testen. Danach vielleicht jede Stunde.
Die Datei ist vorhanden und funktioniert auch. Von hand kann ich sie starten und sie schreibt mir das syslog auf der homepage.
Aber der cron funktioniert nicht!

Gruß wolder

[newbiefan]

Hab folgenden Eintrag in der crontab:

*/1 * * * * root /opt/sbin/logwrite.sh

Die Datei ist vorhanden und funktioniert auch. Von hand kann ich sie starten und sie schreibt mir das syslog auf der homepage.
Aber der cron funktioniert nicht!

Das ist natuerlich nicht ganz so einfach, hier eine brauchbare Ferndiagnose zu stellen.
1.) Bist du wirklich root und nicht admin oder sonstwer (User)?
2.) Wenn du mittels Script den Logfile irgendwo hinkopierst, kann ich dir schon jetzt sagen, dass du frueher oder spaeter gewaltige Probleme bekommst. Alle Programme schreiben in das Syslog, bei mir kam es zu Problemen wenn gleichzeitig zugegriffen wurde=Absturz.
Ein Tip kam von al37919, habe ich aber nie probiert: (z.Bspl.)

logfile=/opt/var/log/syslog.log
[ -r $logfile ] && cat $logfile > irgendwohin

3.) kannst du einmal deine crontab, sowie die Datei /opt/etc/init.d/S10cron posten?
4.) Falls trotzdem alles richtig ist, verwende im script logwrite.sh fuer jeden Befehl den vollen Pfad. Jedenfalls kenne ich diese Art der Cronfehlermeldung nicht.
Aber ich weiss, dass Cron etwas anders reagiert als die normale Shell. Damit hatte ich gelegentlich Probleme. Notfalls mache dir einen kurzen Script und rufe diesen von Cron auf:
#!/bin/sh
echo $PATH > /tmp/mnt/pfad.txt

und schaue dir die Ausgabe an.
LG
Newbiefan

[wolder]

Mir fällt gerade ein, dass ich den Benutzername geändert habe...

Ich logge mich nicht mehr mit root ein sondern mit einem andren Namen.
Wahrscheinlich liegts daran.

Ich muss es nachher mal ausprobieren. Heute hab ich leider wenig Zeit.

Die Crontab bzw. /opt/etc/init.d/S10cron ist so wie in Wengi´s Howto.

Liegt wahrscheinlich wirklich am namen. Ich hatte es mit root und mit admin probiert.

Das script kann ich von hand starten und funktioniert auch. Daran kann es eigentlich nicht liegen.

Ich meld mich morgen nochmal.

Gruß wolder

[newbiefan]

einfach :

cat /etc/passwd

dann bekommst du den Namen, welchen du in die Crontab eintragen musst.
newbiefan

[wolder]

Jo, alles klar.
Jetzt läufts!

Besten Dank!

Gruß wolder