Nickles › Forum › Internet › Internet-Software, Browser, FTP, SSH

Internet-Software, Browser, FTP, SSH 4.708 Themen, 38.981 Beiträge

wer hackt da meinen FTP-Server?

Hardy© am 05.02.2015, 11:56 / 35 Antworten / Baumansicht

Habe neuerdings einen MEDION NAS-Server, der über die FritzBox von aussen als FTP-Server erreichbar ist. Heute sehe ich folgendes im Ereignis-Protokoll des NAS:

Sieht für mich aus wie ein Hacker-Versuch, zumal unterschiedliche User versucht werden:

Wir kann ich mich am besten schützen?

Danke

Hardy

271

2015-02-05 07:38:31

built-in-service

info

User Administrateur(176.74.184.29) login FTP failed

215

2015-02-05 07:45:51

built-in-service

info

User Administrador(176.74.184.29) login FTP failed

137

2015-02-05 07:55:42

built-in-service

info

User newsletter(176.74.184.29) login FTP failed

2015-02-05 08:02:52

built-in-service

info

User sales(176.74.184.29) login FTP failed

0	2015-02-05 08:11:54	built-in-service	info	User spam(176.74.184.29) login FTP failed
11	2015-02-05 08:11:37	built-in-service	info	User spam(176.74.184.29) login FTP failed
12	2015-02-05 08:11:23	built-in-service	info	User spam(176.74.184.29) login FTP failed
13	2015-02-05 08:11:12	built-in-service	info	User spam(176.74.184.29) login FTP failed
14	2015-02-05 08:11:04	built-in-service	info	User spam(176.74.184.29) login FTP failed
15	2015-02-05 08:11:00	built-in-service	info	User spam(176.74.184.29) login FTP failed

Max Payne

Hardy© „wer hackt da meinen FTP-Server?“

05.02.2015, 13:50 Optionen

Wir kann ich mich am besten schützen?

Ein möglichst sicheres Passwort verwenden. Oder den FTP-Server abschalten. Alles, was vom Internet aus erreichbar ist, kann natürlich auch von unerwünschten Gästen erreicht werden. Aber solange die nicht reinkommen, ist doch alles in Ordnung.

Hardy©

Max Payne „Ein möglichst sicheres Passwort verwenden. Oder den ...“

05.02.2015, 13:58 Optionen

klar wäre es schlimmer, wenn Sie auch reinkämen aber man würde ja auch keinem Dieb vor der Haustür mit einem Dietrich gewähren lassen sondern versuchen, ihn zu vertreiben (bildlich gesprochen).

Außerdem frage ich mich, ob dieser ständige Hack-Versuch mein NAS nicht unnötig belastet und auch den Sleep-Modus verhindert.

Hardy

chrissv2

Hardy© „klar wäre es schlimmer, wenn Sie auch reinkämen aber man ...“

05.02.2015, 14:15 Optionen

Es fängt hat schon mal damit an das du weder den genauen Typ des NAS, noch Netzwerkhardware nennst. Es gibt im Netz zahlreiche Threads über die Absicherung eines FTP Servers, allerdings ist unklar inwiefern sich das auf dieses NAS als "Komplettlösung" anwenden lässt.

Auf einen frei im Netz zugänglichen Dienst wird immer mal wieder zugegriffen. Das lässt sich nicht verhindern. Ebenso lässt sich Missbrauch nicht verhindern, sondern nur erschweren. Außerdem solltest du dich fragen ob dieser Ständig laufende Dienst wirklich nötig ist.

mfg

chris

Hardy©

chrissv2 „Es fängt hat schon mal damit an das du weder den genauen ...“

05.02.2015, 15:11 Optionen

Ok, es ist ein MEDION NAS-Server P89630 MD86587.

Ich habe jetzt mal das Passwort verlängert und werde es weiterhin beobachten und wenn es neue Hack-Versuche gibt mus ich halt den FTP-Server ausschalten. Ist halt immer blöd, wenn man dann von aussen mal was braucht.

Aber wie muss man sich das denn überhaupt vorstellen?

Laufen da irgendwelche Bots die alle IP-Adressen durchprobieren und wenn sich was rührt dann versuchend die einfach irgendwelche USER-Namen, in meinem Fall

Administrateur, Administrador, newsletter; spam, sale, etc. und dann hinterlassen sie auch noch ihre IP-Adresse? 176.74.184.29

Kann ich einfach den Router neu starten und eine neue IP-Adresse bekommen die erstmal nicht bekannt ist?

Hardy

chrissv2

Hardy© „Ok, es ist ein MEDION NAS-Server P89630 MD86587. Ich habe ...“

05.02.2015, 15:42 Optionen

Joa, so oder so ähnlich. Es werden halt IPs abgeklappert und auf diensten hinter Standardports geprüft. Wenn sich hinter dem Port ein Dienst befindet, antwortet er auch.

Das ist nun mal der Sinn eines Servers und seiner Dienste. Nachdem der Dienst gefunden ist kann man versuchen sich einzuloggen. Auch da gibt es dann wieder verschiedene Methoden zb Bruteforce.

http://de.wikipedia.org/wiki/Brute-Force-Methode

Da hilft hauptsächlich das Ändern der Zugangsdaten und "sichere" Passwörter. Die von den (Router)Herstellern oft genutzten Standardzugangsdaten wie admin:admin halten natürlich den einfachsten Standardangriffen nicht stand.

Sofern du keinen Kabelanschluss hast oder dein Anbieter keine Vorgehensweise nutzt, bekommst du eh mit jeder (Zwangs)Trennung eine neue IP Adresse. Nutzt du dynDNS?

Eventuell noch interessant:

Das P89630 = P89526 mit Größerer Festplatte. Ab Firmwareversion 1.01 werden beide CPU Kerne genutzt.

http://www.mikrocontroller.net/articles/P89626

Hardy©

chrissv2 „Joa, so oder so ähnlich. Es werden halt IPs abgeklappert ...“

05.02.2015, 16:07 Optionen

dynDNS habe ich durch einen anderen DNS-Dienst ersetzt. Da ich mit Kabel unterwegs bin, hab ich oft monatelang dieselbe IP obwohl 2x täglich ein Reconnect gemacht wird.

Mein NAS hat 2TB und die letzte Firmware 1.01(UZD.0)_20120203 (jedenfalls wird mir keine neuere angeboten).

War mir jetzt nicht sicher ob ich den Namen des Administrators nach eigenem Gutdünken ändern kann, Passwort hatte ich schon sofort geändert.

Hardy

jueki

Hardy© „Ok, es ist ein MEDION NAS-Server P89630 MD86587. Ich habe ...“

05.02.2015, 16:39 Optionen

..mus ich halt den FTP-Server ausschalten. Ist halt immer blöd, wenn man dann von aussen mal was braucht.

Ich betreibe seit Jahren einen Server, den ich nur bei Bedarf aus der Ferne einschalte. Dazu benutze ich "WakeOnLan".
Ob das bei Dir auch möglich ist, weiß ich nicht.
Ich glaube, das ich dadurch auf einer ziemlich sicheren Seite bin.

Jürgen

Hardy©

jueki „Ich betreibe seit Jahren einen Server, den ich nur bei ...“

05.02.2015, 17:00 Optionen

klar könnte ich im Server FTP generell abschalten und wenn ich was brauche vorher auf die Web-Seite des Servers gehen und das FTP-Protokoll einschalten, ist aber eigentlich nicht Sinn der Sache.

Ich hab z.B. im Büro über FTP Netzwaufwerke in Windows zum Server daheim eingerichtet, auf die ich im Explorer so zugreifen kann als wär es ein eingebautes Laufwerk. Das würde dann ja nicht mehr gehen.

Man braucht einen Kompromiss zwischen Sicherheit und Bequemlichkeit.

Wake-on LAN macht der Server eh, da er nach dem lease timeout in den sleep modus wechselt, oder was meinst Du da?

Hardy

jueki

Hardy© „klar könnte ich im Server FTP generell abschalten und wenn ...“

05.02.2015, 17:08 Optionen

Ich überprüfe da mit dem Trafficmonitor (Mirco Boer) den Traffic.
Wenn der Traffic unter einen bestimmten Wert sinkt, fährt der Server nach 300 Sekunden runter.

Jürgen

Hardy©

jueki „Ich überprüfe da mit dem Trafficmonitor Mirco Boer den ...“

05.02.2015, 17:12 Optionen

was meinst Du mit "fährt runter"? ist er dann abgeschaltet oder im Sleep?

Für letzeres benötige ich kein Extra-Tool, das macht er nach X Minuten leasetime von alleine.

Hardy

jueki

Hardy© „was meinst Du mit fährt runter ? ist er dann abgeschaltet ...“

05.02.2015, 17:20 Optionen

ist er dann abgeschaltet oder im Sleep?

Im "Aus"- Zustand. Aus dem er aber geweckt werden kann.
Es handelt sich um einen Eigenbau- Server, denn damals gab es noch keine solchen "FTP- Festplatten". Ein Mini-ITX- Mainboard mit XP und Jana- Server erfüllt bei mir seit Jahren zuverlässig diesen Zweck.

Jürgen

gelöscht_189916

Hardy© „wer hackt da meinen FTP-Server?“

05.02.2015, 17:47 Optionen

http://www.utrace.de/?query=176.74.184.29

Geht man per traceroute auf die mutmassliche Host-IP *.*.*.1, wird der Ping übrigens abgewiesen;-)

Hardy©

gelöscht_189916 „http://www.utrace.de/?query 176.74.184.29Geht man per ...“

05.02.2015, 19:47 Optionen

was bedeutet das, ping wird abgewiesen?

gelöscht_189916

Hardy© „was bedeutet das, ping wird abgewiesen?“

05.02.2015, 20:21 Optionen

was bedeutet das, ping wird abgewiesen?

im Prinzip nichts weiter als das Ping-Anfragen nicht beantwortet werden und diese dann verenden. Allerdings 'mea culpa', nicht der Ping an sich, sondern traceroute läuft in´s Leere und das ist normal. Das sieht dann vom letzten Hop weg so aus und dürfte an einem Abweisen durch die Firewall liegen:

10 62.115.32.94 (62.115.32.94) 65.939 ms 68.391 ms 70.802 ms
11 10ge.xe-1-0-1.por-5ltp1ops-dis-4.peer1.net (216.187.115.226) 65.847 ms 73.826 ms 68.230 ms
12 * * *
13 * * *
14 * * *
15 * * *
16 * * *
17 * * *
18 * * *
19 * * *
20 * * *
21 * * *
22 * * *
23 * * *
24 * * *
25 * * *
26 * * *
27 * * *
28 * * *
29 * * *
30 * * *

Bei einem Routen direkt zur IP so:

10 62.115.32.94 (62.115.32.94) 62.748 ms 62.747 ms 62.746 ms
11 10ge.xe-1-0-1.por-5ltp1ops-dis-4.peer1.net (216.187.115.226) 68.802 ms 68.806 ms 71.157 ms
12 176.74.184.29 (176.74.184.29) 60.845 ms 62.639 ms 45.937 ms

Es ging mir mehr um das theoretische Herausfinden des Standortes, von welchem aus die Ports abgefragt wurden. Du 'siehst' meines Erachtens letztendlich die IP, mit welcher das andere Ende beim Provider angemeldet ist, aber nicht die des eigentlichen Rechners dahinter.
Du kannst jetzt nur das annehmen, was auch schon chrissv2 schrieb, entweder hat da jemand offene Ports gesucht und mit einer Passwortdatenbank abgefragt oder jemand hatte einen Zahlendreher für einen anderen FTP-Server und hat dann aus lauter Verzweiflung mehrere Kombinationen durchgespielt. Sieht aber eher nach Ersterem aus...

Hardy©

gelöscht_189916 „im Prinzip nichts weiter als das Ping-Anfragen nicht ...“

06.02.2015, 08:10 Optionen

ja, ist ein Angriff denn in dieser Nacht zwischen 00:30 und 01:15 wiederum insgesamt 324 Anmeldeversuche mit den User-Namen Administrator, Administrateur, Administrador, newsletter, sales, spam von IP 176.74.184.29

Vielleicht steht meine derzeitige IP tatsächlich in einer geklauten Passwortliste denn es werden ja immer nur diese 5 User-Namen ausprobiert. Werde morgen Nacht mal den FTP-Server ausschalten oder gibt es noch einen besseren Vorschlag?

gelöscht_189916

Hardy© „ja, ist ein Angriff denn in dieser Nacht zwischen 00:30 und ...“

06.02.2015, 09:54 Optionen

Es gibt noch ein paar Anleitungen, wie sich Zugriffe auf Länder beschränken lassen, zumindest für Synology. Vielleicht lässt sich das auf Dein NAS übertragen:

http://apfelcheck.de/technik/synology-mehr-sicherheit-durch-geoip/

http://www.synology-wiki.de/index.php/Grunds%C3%A4tzliches_zum_Thema_Netzwerksicherheit#Sichere_Verbindungen_aktivieren

Hier wird das Thema IP-Sperre behandelt:

http://hefte.com-magazin.de/uploads/tx_commagdb/2014-07_080_NAS_absichern.pdf

Vielleicht wirst Du direkt im NAS-Forum auch eher fündig als hier:

http://forum.nas-portal.org/forumdisplay.php?135-Medion&s=4e00d8ed7a0ace7723f4d04f347edac9

Wiesner

Hardy© „wer hackt da meinen FTP-Server?“

06.02.2015, 08:22 Optionen

Kann dein FTP die Funktion "Autoban" (Linux: Failban)?

So kannst du die IP beim "x" fehlgeschlagenen Loginversuch sperren.

Ich würde außerdem über Verschlüsselung nachdenken (FTPS) denn 1x mitsniffen bei FTP und man hat das Passwort.

Hardy©

Wiesner „Kann dein FTP die Funktion Autoban Linux: Failban ? So ...“

06.02.2015, 08:46 Optionen

nö leider hat er kein Autoban und kann auch nur FTP.

Kann die vorgeschaltete FritzBox noch was abwehren?

Wiesner

Hardy© „nö leider hat er kein Autoban und kann auch nur FTP. Kann ...“

06.02.2015, 09:20 Optionen

Mal probieren "Echo" die ICMP Antwort abschalten, so wirst du wenigstens die script kiddies los.

Und wie gesagt Verschlüsselung, oder überhaupt auf eine sichere Alternative zu FTP wechseln.

Nur anonymous Modus, letzteres wäre nicht so kritisch.

"Vielleicht steht meine derzeitige IP tatsächlich in einer geklauten Passwortliste denn es werden ja immer nur diese 5 User-Namen ausprobiert."

Braucht man nicht man muss nur eine "Man in the middle" Attacke machen und den FTP Verkehr aufzeichnen. Schon hat man das Passwort im Klartext. Probiere dies mal Wireshark.

Aus diesem Grund sind wir bei unseren Kundenzugängen von FTP auf Https gegangen.#

Forsche mal ob du bei deiner Nas Shell Zugang bekommen kannst, bzw welchen FTP Server diese verwendet.

So könntest du ev. diesen erweitern oder versteckte Funktionen einschalten.

Übrigens du hast durch diesen Serverbetrieb Störerhaftung! Wenn dir einer den Server hackt und versteckt oder verschlüsselt eine KIPO Datei oder ä. hochlädt bist du in der Beweispflicht.

Hardy©

Wiesner „Mal probieren Echo die ICMP Antwort abschalten, so wirst du ...“

06.02.2015, 16:22 Optionen

Übrigens du hast durch diesen Serverbetrieb Störerhaftung! Wenn dir einer den Server hackt und versteckt oder verschlüsselt eine KIPO Datei oder ä. hochlädt bist du in der Beweispflicht.

Er kommt ja nicht rein, weil er das Passwort nicht hat außerdem, auf einen FTP Server kann man doch nur Dateien up oder downloaden aber keinen Virus platzieren. Was muß ich da beweisen können?

floytt

Hardy© „Er kommt ja nicht rein, weil er das Passwort nicht hat ...“

06.02.2015, 16:46 Optionen

FTP überträgt alle Daten - und auch die Anmeldeinformationen unverschlüsselt. Das Passwort kann man (vereinfacht gesagt) herausfinden, indem man einmal einen von deinen Verbindungsaufbauten von aussen mitschneidet. Egal, wie kompliziert dein Passwort ist, danach kommt der geneigte Hacker bei dir rein.

FTP möchte man heutzutage nur im lokalen Netz machen. Schau nach, ob wenigstens FTPS aktivierbar ist oder SFTP.

Hardy©

floytt „FTP überträgt alle Daten - und auch die ...“

06.02.2015, 16:57 Optionen

kurze Verständnisfrage: benötige ich für eine Windows Netzwerkfreigabe solange es im eigenen LAN passiert überhaupt FPT oder andersherum; wenn ich den FTP-Server abschalte funktionieren die Netzlaufwerke trotzdem?

Im Ereignisprotokoll stehen die Netzlaufwerke mit Typ CIFS während der FTP-Client mit FTP gelistet ist. Ausserdem noch der Internet-Zugang mit WEB

FTPS oder SFTP kann des NAS leider nicht.

Wiesner

Hardy© „kurze Verständnisfrage: benötige ich für eine Windows ...“

06.02.2015, 17:11 Optionen

Nein, SMB (CIFS) ist ein ganz eigenständiges Protokoll unabhängig von FTP.

Wenn du nur ein Paar Dateien zu Verfügung stellst, würde ich einen eigene User anlegen unabhängig von SMB und diesem keine Schreibrechte in dem FTP Verzeichnis geben.

Beispiel:

Du hast eine SMB Freigabe namens Hardy dort liegt ein Ordner FTP. Gibst du dem FTP Benutzer nur dort Zugriff. Du kannst mit SMB Lesen und Schreiben. Deine FTP Leute sollen aber dieses Verzeichnis nur lesen können.

Das wird die Angriffe nicht mindern aber du bist mit deiner NAS schon mal uninteressanter.

Achtung der FTP - Server muss aber so trotzdem mit Updates sicher gehalten werden, sonst kann ein ev. Backdoor ausgenutzt werden.

Wiesner

06.02.2015, 16:59 Optionen

So zuversichtlich würde ich nicht sein.

Es braucht sich nur in dieser Zeit einer deiner 5 User einloggen, schon kann das Passwort kompromittiert sein.

Dann muss der Hacker nur mehr kucken ob er Schreibrechte hat.

Hardy©

Wiesner „So zuversichtlich würde ich nicht sein. Es braucht sich nur ...“

06.02.2015, 17:24 Optionen

die 5 User des Hackers sind frei erfunden und die gibt es bei mir garnicht.

Es scheint so als ob man in der vorgeschalteten FritzBox auch eingehende Anfragen bestimmter IP Ranges blocken kann, wenn ich das hier richtig lese:

http://www.ip-phone-forum.de/showthread.php?t=259852

Aber ist nicht ganz so einfach, da man eine Config.Datei editieren muss.

Ich bin jetzt eh erstmal im Urlaub und werd das Teil abschalten und wenn ich zurück komme hab ich vermutlich vom Provider eine andere IP-Adresse bekommen.

lexlegis

06.02.2015, 23:26 Optionen

Manche Server bieten auch an, ihren Standardport zu ändern. Dann könnte man statt 20/21 einfach einen anderen wählen, das könnte die Angriffsfläche reduzieren.

Wie man es nicht machen soll, sieht man auf http://filemare.com/de-de - tausende Ergebnisse, nur weil die selbsternannten Serveradmins ihren Zugang nicht absichern.

Hardy©

lexlegis „Manche Server bieten auch an, ihren Standardport zu ändern. ...“

07.02.2015, 14:16 Optionen

Gestern Nacht jetzt kein neuer Versuch, vielleicht hat er aufgegeben, oder der Bot hat sich gemerkt, dass er hier nicht weiterkommt....

Letzte Frage zur FrizBox Firewall:

Die kontrolliert wohl nur die ausgehenden Datenströme aber nicht, was reinkommt, oder?

Hardy

alex179

07.02.2015, 15:10 Optionen

Die Firewall der Fritzbox kontrolliert vermutlich kaum Datenströme, sondern blockt alle Zugriffe aus dem Internet mit Ausnahme von offenen Ports. Wenn ein FTP Server aus dem Netzwerk der Box dort im Internet auf Port 20/21 freigegeben ist, wird jeder Zugriff auf den FTP-Port direkt an den FTP-Server durchgeleitet. In der Regel muss der FTP-Server die nicht autorisierten Zugriffe selbst blocken.

Firewalls, die Datenströme auswerten, kenne ich nur als eigenständige Geräte im Rackformat für Rechenzentren.

Auf meinen alten Windows-Rechner hatte ich früher mal den Filezilla FTP-Server installiert. Da waren fremde Zugriffsversuche auch an der Tagesordnung. Nach drei Fehlversuchen habe ich die IPs blocken lassen, dann war es sofort vorbei mit den Angriffen. Am sichersten ist es aber wirklich, auch noch den Ping abzuschalten, wenn das die Firewall kann.

chrissv2

07.02.2015, 15:11 Optionen

Nein, genau andersrum. Letztendlich haust du aber mit DynDNS und port forwarding ein Loch in die "Firewall", ansonsten wäre der FTP Server aus dem Netz auch nicht erreichbar. Also ohne Dynamisches DNS schon aber nicht ohne den offenen Port. Und mit diesem offenen Port ist er eben von jedem erreichbar.

http://de.wikipedia.org/wiki/Portweiterleitung#Portweiterleitung_durch_Router

Hardy©

chrissv2 „Nein, genau andersrum. Letztendlich haust du aber mit DynDNS ...“

07.02.2015, 16:00 Optionen

Nach drei Fehlversuchen habe ich die IPs blocken lassen, dann war es sofort vorbei mit den Angriffen.

wenn ich das auch machen könnte, wäre ich ja schon am Ziel, aber wie mache ich es?

alex179

08.02.2015, 11:29 Optionen

In dem Handbuch der Medion Nas finde ich keine derartige Funktion dokumentiert. Da müsste es dann schon eine neue/alternative Firmware dafür geben, welche die Funktion nachrüstet. Bei guten FTP-Servern ist eine IP-Blacklist Standard.

Heute würde ich jeden von derartigen Medion-Geräten abraten, da ein vernünftiger Firmware-Support hier fast nicht exisitiert. Die letzte Firmware hier ist von 02/2012. Schnell verkauft und dann vergessen. In Sachen NAS bieten Markenhersteller deutlich mehr Funktionen bei der Firmware und auch Apps für Mobilgeräte.

Borlander

lexlegis „Manche Server bieten auch an, ihren Standardport zu ändern. ...“

07.02.2015, 16:09 Optionen

Manche Server bieten auch an, ihren Standardport zu ändern. Dann könnte man statt 20/21 einfach einen anderen wählen, das könnte die Angriffsfläche reduzieren.

Hier würde es ausreichen im NAT-Router die Portweiterleitung entsprechend anzupassen. Dann z.B. den externen Port 50020/50021 auf 20/21 des FTP-Servers im LAN weiterleiten.

lexlegis

Borlander „Hier würde es ausreichen im NAT-Router die ...“

07.02.2015, 16:58 Optionen

Stimmt, daran hatte ich gar nicht gedacht.

Hardy©

Borlander „Hier würde es ausreichen im NAT-Router die ...“

08.02.2015, 04:18 Optionen

Hier würde es ausreichen im NAT-Router die Portweiterleitung entsprechend anzupassen. Dann z.B. den externen Port 50020/50021 auf 20/21 des FTP-Servers im LAN weiterleiten.

Also wenn ich es richtig verstanden habe:

FTP-Server behält Port 21

Im Router Portweiterleitung von 50021 an 21 eingeben

Aber wie müsste man dann am externen PC das Netzlaufwerk verbinden? etwa so?

ftp://User@myndyndns.com:50021/Pfad

Borlander

08.02.2015, 12:25 Optionen

Aber wie müsste man dann am externen PC das Netzlaufwerk verbinden? etwa so?

Externen Port mit angeben wie in Deinem Beispiel sollte als einzige Änderung erforderlich sein.