nicht angemeldet
Sambar und ungeklärte Datei root.exe
0
Sambar und ungeklärte Datei root.exe
Hallo,
Ich hoffe mir kann jemand weiterhelfen.:)
Ich habe heut zum ersten mal nach langer Zeit wieder meinen Sambar Server für Windows 2000 den ganzen Tag laufen lassen...
Als ich mir heute die Log Datei angeschaut habe ist mir folgende Zeile aufgefallen:
-------------------
80.xxx.100.xx - - [26/Sep/2002:09:40:36 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 565 0 "-" "-"
80.xxx.100.xx - - [26/Sep/2002:09:40:46 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 565 0 "-" "-"
-------------------
Alles andere waren normale Zugriffe, außer diesen beiden.
das seltsame ist aber das (404 not found) und diese "root.exe".
wenn für mich jemand die Zeile interpretieren könnte wäre das sehr nett.
Ps.: könnten es vieleicht Versuche eines "Unerlaubten" Zugreifers sein ?
Wenns euch hilft: Dateisys: NTFS, Win XP Pro, sambar 5.1p jo...
Danke vielmals Robin
-
Hi,
80.xxx.100.xx - - [26/Sep/2002:09:40:36 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 565 0 "-" "-"
80.xxx.100.xx - - [26/Sep/2002:09:40:46 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 565 0 "-" "-"
Ps.: könnten es vieleicht Versuche eines "Unerlaubten" Zugreifers sein ?
Das könnten nicht nur, das sind Versuche eine Shell aufzurufen und sich Überblick über den Server zu verschaffen. Ich habe da auf meinem Linux-Server noch mehr von den Gedichten. Allerdings greifen das Microsoft-Hacks nicht. Schmeiß das Windows-System weg und stell auf Linux um. Die Wahrscheinlichkeit, das so ein Ding durchgeht sinkt dann mindestens auf Faktor 1/1000.
LG
Chris
-
hmm und wie war das hier. ist der durchgekommen ???
Und was wenn ja, was kann der hacker da machen ?? Maximaler schaden ?und wie funtzt das mit dem shel, da hab ich keine ahnung von
danke
-
Hallo,
der maximale Schaden dürfte sein, dass er deine Festplatte um ein paar Dateien leichter macht (sagen wir so "freieauswahl"MB).
Aber es kann auch sein, dass es gar kein Hacker, sondern nur ein Wurm war.
Greetings
Torwächter-
Wurm ? wasn das ?
Also wenn ich NTFS Dateisystem habe kann drotzdem noch alles gehackt werden oder was ??
ich versteh das nicht, warum müssen LINUX User immer sicherer sein :( heul.
naja da schalte ich den server mal lieber aus
-
Wurm ? wasn das ?
Nimm das : http://www.symantec.com/region/de/avcenter/vwutp.html
ich versteh das nicht, warum müssen LINUX User immer sicherer sein :( heul.
Verwechslest Du da nicht ein wenig was? Es war ein versuchter Angriff, der nicht geklappt hat. Deshalb ist Dein System noch lange nicht unsicher.
Vor einem versuchten Angriff kann dich auch ein Linux nicht schützen. Nur die Häufigkeit dieser Versuche wird bei Windows wohl weitaus höher sein ;)
naja da schalte ich den server mal lieber aus
Wieso? Ist doch nichts passiert.
-
Kann mir einer eine wirklich reele Antwort geben:
1. Wie sicher im Bezug auf LINUX ist ein Win2000 System mit NTFS Dateisystem und so weiter. (bzw. hat NTFS überhaupt einfluss auf solche sachen ?)2. Wie sicher kann ein Windows system mit Sambar Server überhaupt sein ?
3. Was macht ein Wurm ? Und warum zur hölle Wurm ?
4. Muss ich wirklich Angst haben das ich was verliere ?
5... Einfach nur Danke
-
- Wie sicher im Bezug auf LINUX ist ein Win2000 System mit NTFS Dateisystem und so weiter. (bzw. hat NTFS überhaupt einfluss auf solche sachen ?)
Mit NTFS kann man glaube ich, Partionen auch verschlüsseln. Diese sollten dann auch im Falle eines Systemvollzugriffs nicht zu lesen sein für den Angreifer. Das schützt Dich aber nicht davor, dass er die Partion löscht.
Ich persönlich denke, dass ein gut Administriertes Linux-System sicher als ein Windows-System ist. Aber stell Dir das Administrieren mal nicht so leicht vor. Ich denke, dass ein "Otto-Normal-User", der nicht viel Ahnung von Linux hat, mit Windows schneller zu einem sicheren System kommt (meine persönliche Meinung).
- Wie sicher kann ein Windows system mit Sambar Server überhaupt sein ?
Nun, wenn Du immer brav die neusten Sicherheitsupdates installierst, ist Dein System schon recht sicher. Mehr kannst Du eh nicht machen. Es werden immer neue Sicherheitslücken entdeckt, die dann wieder gestopft werden (müssen).
- Was macht ein Wurm ? Und warum zur hölle Wurm ?
Hast Du meinen Linktipp nicht gelesen?
- Muss ich wirklich Angst haben das ich was verliere ?
Nein, ich denke nicht.
5... Einfach nur Danke
Lass Dich nicht verrückt machen.
Bis dann...
Alex :)
-
Hi,
Ich persönlich denke, dass ein gut Administriertes Linux-System sicher als ein Windows-System ist. Aber stell Dir das Administrieren mal nicht so leicht vor. Ich denke, dass ein "Otto-Normal-User", der nicht viel Ahnung von Linux hat, mit Windows schneller zu einem sicheren System kommt (meine persönliche Meinung).
Meiner persönlichen Meinung nach sollte sich ein Otto-Normal-User gar nicht erst an einen Server setzten, er sollte zumindest von TCP/IP und Webserverkonfiguration eine Ahnung haben - sonst bekommt er nirgens ein sicheres System, weder unter Windows noch unter Linux.
Nun, wenn Du immer brav die neusten Sicherheitsupdates installierst, ist Dein System schon recht sicher. Mehr kannst Du eh nicht machen. Es werden immer neue Sicherheitslücken entdeckt, die dann wieder gestopft werden (müssen).
ACK
Grüße,
Christian
-
Hallo,
da gibts noch einen Aspekt, der nicht vergessen werden sollte:
die Kostenfrage.
Firmen haben i. d. R. keinen 08/15-DSL-Anschluß mit dynamischer IP sondern eine Standleitung ins Internet mit fester IP oder Netzwerksegment. Deshalb sind sie für Hacker auch viel begehrter, weil man die Server immer unter der selben IP erreichen kann.
Gelingt es einem Hacker erst einmal, ein Werkzeug (Deamon) auf Deinem Rechner zu hinterlegen, dann ist das Garaus nicht mehr weit. Wenn er es nämlich jetzt noch schafft, das Werkzeug (Deamon) zu aktiVieren (daher kommt der Name "Vieren" *gg*), dann ist es nicht mehr Dein Server, sondern seiner.
Das Schlimme an solchen Deamons ist, dass sie eine Menge Datenpackete produzieren können, die Müll enthalten. Die sorgen nun bei gleichzeitiger Verwendung anderer Protokolle auf dem selben Segment für viele Kollisionen und das die andeen Packete verloren gehen. Wenn z.B. die telekommeine Abrechnung deines Traffics über eine Auslesung des Routers (SNMP und/oder telnet) vornimmt, dann kommen die angeforderten Daten dort nicht mehr an (Weil der Deamon sie freundlicherweise beantwortet) und werden in der Abrechnungstelle durch "Ersatzdaten" ausgetauscht. Man nimmt dann einfach an, dass im letzten Abrechnungszeitraum (ao. ca. 5 Min bis 15 Min) die volle Beandbreite genutzt wurde.
Was das für Deine Rechnung bedeutet, kannst Du Dir sicher vorstellen. Eigentlich ist das ja Betrug, aber wenn die Rechnung erstmal im Haus ist... Der Fehler kann so ungefäht Faktor 20-30 zum wirklichen Volumen ausmachen.
Solltest Du also z.B. eine Telekom-Standleitung mit Trafficberechnung haben, nimm das Gerät sofort vom Netz, wenn Dir irgendetwas suspekt vorkommt und bau es neu auf.
Mein schlussendliches Resumee nach solch einem Ärger war, dass ich zu einem Provider mit fairen Abrechnugnsmethoden ("Flatrate" für die Standleitung) und besseren Firewall- und Virenscan-Funktionalitäten bereits im Knotenpunkt gewechselt habe. <werbung>http://bitworks.de/star21</werbung>
Liebe Grüße aus http://www.braunschweig.de
Tom
-
-
Hallo,
Jetzt muss ich in diesem Thread endlich mal was klarstellen:
Kann mir einer eine wirklich reele Antwort geben:
- Wie sicher im Bezug auf LINUX ist ein Win2000 System mit NTFS Dateisystem und so weiter. (bzw. hat NTFS überhaupt einfluss auf solche sachen ?)
a) Wenn _nur_ der Webserver-Port (80) offen ist, dann hängt die Sicherheit des Systems _alleine_ von der Webserver-Software (und deren Konfiguration) ab.
b) Das Dateisystem (in Deinem Fall NTFS) tut nur indirekt etwas zur Sache (nämlich dann, wenn Du Besuchern mehr als bloß Lesezugriff auf alles im Documentroot geben willst - dann ist aber NTFS auch nicht ideal, jedoch einigermaßen brauchbar)
c) Das Betriebsystem tut auch nur indirekt etwas zur Sache (es sei denn, es gibt einen Bug im TCP/IP-Stack, welche es auch schon gegeben hat; jedoch ist davon nicht nur Windows betroffen), indem es evtl. die Möglichkeiten eines Webservers einschränkt. Es ist jedoch theoretisch möglich, einen sicheren Webserver unter Win9x zu betreiben.
d) Linux hat einen großen Vorteil gegenüber Windows: Du hast die _ABSOLUTE_ Kontrolle. Jedoch solltest Du auch bedenken: Ein Windows-Admin, der sich _wirklich_ auskennt, bringt ein sichereres System zustande als ein Linux-Admin, der sich _nicht_ auskennt (und sich z.B. verkonfiguriert oder vergisst, Sicherheitsupdates einzuspielen o.ä.).
- Wie sicher kann ein Windows system mit Sambar Server überhaupt sein ?
Ich kenne Sambar nicht, jedoch denke ich, dass alles irgendwie sicherer sein wird, als der IIS (siehe auch <?m=136666&t=24879>) ...
Grüße,
Christian
P.S.: eigentlich empfehle ich jedem, statt Windows Linux zu verwenden, denn da ist das System leichter dicht zu bekommen und hat andere (z.T. auch ideologische) Vorteile; jedoch bringt Propaganda "Linux ist _immer_ sicherer als Windows" rein gar nichts (außer verunsicherte Admins und offene Sicherheitslücken)
-
-
-
Hi,
ich versteh das nicht, warum müssen LINUX User immer
sicherer sein :( heul.weil es weniger davon gibt, weil sie im Schnitt sauberer konfiguriert sind, weil UNIX grundsätzlich ein System der Unterteilung von Privilegien besitzt und bei Windows nur ein Teil der System einen schwachen Versuch desselben.
Alles zusammen macht es einfach attraktiver, ein Windows-System anzugreifen als eines der vielen verschiedenen, insbesondere auch noch unterschiedlich konfigurierten UNIX-Abkömmlinge.
Wurm ? wasn das ?
Ich skizziere mal, was der bei Dir gesucht hat - dann versehst Du, was er ungefähr tut - und wie.
Der Wurm läuft auf einem beliebigen Rechner als Programm und sendet HTTP-Requests an irgendwelche IP-Adressen - zufällig auch an Deine.
Du könntest ein Windows-System haben. Also ist es einen Versuch wert, das zu knacken.
Dein Webserver könnte ein M$-IIS sein. Der hat bekannte Sicherheitslücken, wenn Du diese nicht durch Einspielen der aktuellen Patches vertuscht - äh, behoben hast.
Ein Teil der Sicherheitslücken besteht darin, den IIS einfach in der Standardinstallation zu verwenden.
Dabei sind nämlich bestimmte Verzeichnisse als CGI-verzeichnisse vorkonfiguriert, d.h. darin liegende URLs werden nicht ausgeliefert, sondern _ausgeführt_.
Ein guter Angreifer kennt diese Verzeichnisse.Bestimmte Versionen des IIS haben bestimmte bugs.
Einer der Bugs besteht darin, zu übersehen, daß ein Angreifer einen URL senden könnte, der versucht, über "../" aus dem URL-Raum heraus zu navigieren und damit beliebige Dateien auf Deinem Server anzusprechen.
Es gibt natürlich einen Patch dafür, aber den hast Du vielleicht nicht installiert. Woher solltest Du auch wissen, daß es Windows-Programme gibt, die Fehler haben?Wenn man mit diesem "../"-Trick nun aus einem bekannten CGI-Verzeichnis heraus (z. B. "/scripts") eine beliebige Programmdatei ansprechen könnte, dann würde man sie auf Deinem Rechner ausführen (so funktioniert CGI ja nun mal). Denn der Fehler des IIS besteht insbesondere darin, nicht zu begreifen, daß "/scripts/../../../../" etc. eben _kein_ CGI-Verzeichnis mehr ist.
Als nächstes braucht der Angreifer die Verzeichnisstruktur Deines Windows-Servers.
Wissen kann er sie nicht - aber Du wirst ja hoffentlich den Installations-Default verwendet haben, wie die meisten Windows-Anwender. Also probieren wir mal c:\windows und c:\winnt und ... mal sehen, ob wir fündig werden.
Falls dies der Fall ist, läßt sich durchaus ein Pfad konstruieren, der zu einem bekannten ausführbaren Programm führt. Ein guter Kandidat ist beispielsweise das Programm "cmd.exe" - die "WinNT-Box" (früher hätte man "DOS-Box" gesagt). Die kann selbst wiederum Programme mit richtigen langen Kommandozeilen ausführen ...Das alleine reicht immer noch nicht. Der Angreifer muß nun irgendwas auf Deiner Kiste ausführen, was ihn weiter bringt.
Am einfachsten ginge das, wenn er einfach ein eigenes Programm ausführen könnte. Aber ein solches Programm befindet sich nicht auf Deiner Kiste - _noch_ nicht.
Aber gleich - nämlich dann, wenn der Angreifer es schafft, bei Dir ein bekanntes, vorinstalliertes Windows-Programm auszuführen, mit dem er eine Verbindung von Deinem zu _seinem_ Rechner aufbauen kann. Denn wenn er _das_ schafft, dann holt er sich über diese Verbindung viele gute Freunde, nämlich den eigentlichen Wurm-Code!
Ein guter Kandidat dafür ist das bei Windows mitgelieferte und (wie üblich unter dem Standard-Pfad installierte) FTP-Programm ... oder eine von mehreren anderen Möglichkeiten.
Eigentlich sollte ein Webserver es natürlich gar nicht nötig haben, selbst FTP- oder HTTP-Verbindungen zu anderen Systemen _aufbauen_ zu dürfen (das tun ja normalerweise die Browser, wenn sie ihn kontaktieren) - aber Du wirst schon keine Firewall installiert haben, die das explizit verhindert ...Und sobald er seinen eigenen Code auf Deine Kiste laden und dort ausführen kann, sind wir wieder am Anfang der Geschichte.
Jetzt ist es nämlich _Dein_ Server, von dem aus dem der Wurm HTTP-Verbindungen zu beliebigen neuen Rechnern aufzubauen versucht, um mutig dorthin vorzustoßen, wo noch nie ein Wurm ... äh, oder so ähnlich. ;-)Und was lernen wir daraus?
Der Angreifer muß ganz schön viele Voraussetzungen auf Deinem Server antreffen - d. h. der Betreiber muß ganz schön viele Gelegenheiten verpaßt haben, sich zu wehren.
Windows zu installieren ist nicht der Fehler - aber es nicht zu verstehen und zu glauben, der Angreifer verstünde es auch nicht, _das_ ist einer.Viele Grüße
Michael-
Hi Michael,
*clap* *clap* *clap*
Das war wirklich gut erklärt. Wenn Du nichts dagegen hast, werde ich das in meine Seminarunterlagen für "unbedarfte Manager" aufnehmen.
Es fällt mir da immer schwer, die Kurve zwischen technisch einwandfreier Darstellung und Verständnis zu kriegen. Ich will vor Allem keine Hackanleitungen verbreiten.
Grüße
Tom
-
Hi Tom,
Wenn Du nichts dagegen hast, werde ich das in meine
Seminarunterlagen für "unbedarfte Manager" aufnehmen.nur zu ...
Es fällt mir da immer schwer, die Kurve zwischen
technisch einwandfreier Darstellung und Verständnis
zu kriegen.Also an die legendären Erwählungen beispielsweise von Antje oder Kirsten komme ich auch nicht ran ...
Ich will vor Allem keine Hackanleitungen verbreiten.
Die Erfahrung lehrt, daß erstens die Opfer weniger Ahnung haben als die Täter (das auszuführen war der hauptsächliche Zweck des Postings), ich also den Tätern im Vergleich so gut wie nicht helfe, und zweitens für potentielle Täter längst Baukastensysteme existieren, aus denen man sich einen Virus fast schon "zusammenklicken" kann.
Und überhaupt ist mir völlig egal, ob eine Million Script-Kiddies eine Million schlechter Viren programmieren, wenn ein einziger guter Cracker mit einen einzigen aggressiven Virus, der wirklich weiß, was er tut, mehr Schaden anrichten kann als alle Kids zusammen genommen.
Viele Grüße
Michael
-
-
-
-
Bei diesem Thread und diesem http://forum.de.selfhtml.org/?m=136698&t=24887 hier warste immer eine Minute schneller bei Deiner Antwort als ich...
Na warte, das wird nicht ungesühnt bleiben... ;o)
Alex :)
-
-
hmm und wie war das hier. ist der durchgekommen ???
Läuft Dein System noch ohne Probleme? Alle Dateien noch da?
Ich denke nicht, dass er ins System gekommen ist. Diese Zugriffsversuche sehen ziemlich nach CodeRed aus. CodeRed ist ein Wurm, der ziemlich viel Aufsehen erregt hat. Er nutze ein Sicherheitsloch im MS-Sever. Und da Du ja Sambar nutzt...
Und was wenn ja, was kann der hacker da machen ?? Maximaler schaden ?
Also beim MS-Server hatte der (glaube ich) vollen Systemzugriff. Also von Platte formatieren und all das böse Zeugs...
und wie funtzt das mit dem shel, da hab ich keine ahnung von
Shell ist nur eine Komandozeile, wo man, wie der Name schon andeutet, Komandos eingeben kann, die dann vom System ausgeführt werden.
Grüße...
Alex :)
-
so jetzt mach ich den Server aus und nie wieder an :)
Mein DSL Router blockt dann den rest.Zum Glück bin ich blad stolzer Besitzer einer Ultra Sparc 2 von Sun... Da kommt dann Linux drauf und die können mich alle mal am Abend besuchen :)
-
-
-