Angriff auf meinen FTP-Server ... sehr nervig

[gsh]

Hi DPler

Ich bin gerade drauf gekommen das seit 27.04 um 11:12Uhr jemand versucht auf meinen ftp-server zuzugreifen.
Also er versucht sich als "Administrator" am FTP Server anzumelden. Ich würd sagen mit einem Wörterbuch angriff.

es gibt keinen "Administrator" User auf dem server xD d.h. er hat null chancen auf erfolg
Aber stören tut es mich trotzdem. Also seine IP ist 195.242.236.131 und diese ist statisch. Ist woll ein server der tag und nacht läuft und somit die ganze zeit zeit hat um das zu erledigen.

Was kann ich am besten dagegen machen?
Am liebsten würd ich ihn anrufen und ihn bitten mit seinen Angriffen aufzuhören ... auf seine Reaktions wäre ich sehr gespannt :mrgreen:

Also was findet ihr den so über ihn heraus?
195.242.236.131

[Mackhack]

Guck mal in den Setups/Optionen wie auch immer ob es da die Anti-Hammering Funktion gibt. Wenn ja aktivieren und einstellen dass nach x Versuchen in y Zeit der User gekickt (+ gebannt wird). Das funzt wunderbar z. B. mit dem BulletProof FTP Server den ich selbst einsetze!

[J.P.]

kann nicht garantieren, ob das stimmt
http://www.ripe.net/fcgi-bin/whois?f...95.242.236.131

[inherited]

Kannst du den Server nicht so einrichten, dass es nach 5 Fehlgeschlagenen Login-versuchen einen IP-Ban gibt?

[gsh]

Ich benutze den FileZilla Server. Weiß nicht ob des geht ... ich schau mal

[Jelly]

Zumindest stammt die IP Adresse aus Grossbritannien: hier

[gsh]

So hab grad endeckt das in der neuen version von filezilla eine autoban funktion eingebaut worde ... jetzt glaub ich werd ich keine Probleme mehr bekommen.

hmm was will ein engländer von meinem server ... naja er hätte ruhig noch ein bissi weiter suchen können er wäre nie drauf gekommen. den zuerst muss er den richtigen Usernamen finden. und jetzt muss er nach 5 fehlversuchen 1 stunde warten. Also 5 pws in der Stunde :mrgreen: Das dauert

[inherited]

Den Portscan den ich hier am laufen hab lass ich aber noch durchlaufen :mrgreen:

[3_of_8]

Schick halt ne Mail an die Abuse-Complaint-Adresse.

[gsh]

Zitat:

Zitat von inherited

Den Portscan den ich hier am laufen hab lass ich aber noch durchlaufen :mrgreen:

:mrgreen: ok sag mir dann bitte des ergebnis

Zitat:

Zitat von 3_of_8

Schick halt ne Mail an die Abuse-Complaint-Adresse.

Was ist des?

[3_of_8]

Auszug aus dem RIPE-Report:

Code:

inetnum:         195.242.236.0 - 195.242.239.255
netname:         INX-NETWORK
descr:           INX-NETWORK Limited - High speed Rack Space Provider and Reseller - Game Service Provider - Dedicated Server Seller
country:         GB
remarks:         trouble:        Please send abuse complaints to !!![e-mail]!!!,
                DO NOT send abuse complaints to the contacts listed
                as they will be ignored.

[inherited]

Erster Teil des WhoIs:

Code:

country:         GB
remarks:         trouble:        Please send abuse complaints to [email][e-mail][/email],
                DO NOT send abuse complaints to the contacts listed
                as they will be ignored.

Ach ja: Auf Port 8080 läuft ein ssh-Server, Port 21 beherbergt einen FTP-Server der Anonyme Logins erlaubt.
Außerdem sind Port 32768 und 32769 sind wahrscheinlich jeweils Filenet TMS und Filenet RPC
Port 27035 und 27045 sind ebenfalls offen, allerdings weiß ich nicht, was dahinter hockt.
Wenn noch was neues kommt, sag ich bescheid :mrgreen:

[gsh]

hmm naja bis jetzt hat er es ja nicht mehr versucht und was solls so ein noob der versucht auf einem ftp-server sich als administrator anzumelden geht mir am A**** vorbei :zwinker:

Zitat:

Zitat von inherited

Ach ja: Auf Port 8080 läuft ein ssh-Server, Port 21 beherbergt einen FTP-Server der Anonyme Logins erlaubt.
Außerdem sind Port 32768 und 32769 sind wahrscheinlich jeweils Filenet TMS und Filenet RPC
Port 27035 und 27045 sind ebenfalls offen, allerdings weiß ich nicht, was dahinter hockt.
Wenn noch was neues kommt, sag ich bescheid :mrgreen:

hrhr mal schaun was so alles hinter den ports steckt. danke schon mal

[inherited]

So, fertig

Code:

   Port   Beschreibung
   21    File Transfer [Control]
   111    SUN Remote Procedure Call
   2224   unknown usage
   8080    HTTP Alternate (see port 80) (Ist aber ssh)
   27035   unknown usage
   27045   unknown usage
   32768    Filenet TMS
   32769    Filenet RPC

[gsh]

gut
naja viel machen kann man damit leider nicht :evil:
leider keine schreibrechte auf dem ftp

[generic]

Zitat:

Zitat von gsh

Was kann ich am besten dagegen machen?

Code:

iptables -A INPUT -s <seine ip> -j DROP

würde ich in der shell eingeben. das block ihn in der firewall.

[gsh]

ich könnte es auch einfacherweiße im ftp server unter ban ips eintragen ... aber bis jetzt war ruhe also keine weiteren angriffe

[Valle]

*hust* Du scheinst nicht der Einzige zu sein, dem diese IP aufgefallen ist :wink:

Google-Suche

Mit freundlichen Grüßen,

Valle

[J.P.]

ähm, eine kleine OT frage.

@inherited Wie hast du die Ports checken lassen?
einfach die adresse plus :*port*
mit einem webbrowser besucht?

[3_of_8]

LOL, das wird recht lange dauern und auch nicht immer unbedingt funktionieren. Schätze mal, er hat ein Programm dafür.

[Zacherl]

Wird nicht mehr lange dauern, bis die bestimmt etlichen abuse Mails Wirkung zeigen werden .. Wobei dass die IP statisch ist könnte auf einen Proxy schließen lassen.

[gsh]

Zitat:

Zitat von Valle

*hust* Du scheinst nicht der Einzige zu sein, dem diese IP aufgefallen ist :wink:

hmm wengistens nicht alleine :mrgreen:

Zitat:

Zitat von J.P.

ähm, eine kleine OT frage.

@inherited Wie hast du die Ports checken lassen?
einfach die adresse plus :*port*
mit einem webbrowser besucht?

am ja der hat da sicher ein prog. dafür ... z.b. superscan

Zitat:

Zitat von Florian Bernd

Wird nicht mehr lange dauern, bis die bestimmt etlichen abuse Mails Wirkung zeigen werden .. Wobei dass die IP statisch ist könnte auf einen Proxy schließen lassen.

hmm also bis war gar nichts mehr los auf meinem server

[inherited]

Einfach an jeden Port (0 bis Max(integer)) versuchen, eine Verbindung aufzubauen. Wenn sie akzeptiert wird, ist er offen und irgendwas Antwortet.
Weil das nacheinander sehr lange dauert macht man das am Besten mit Threads

[Axxus]

falls es dich interessiert das signal kommt aus
IP-Addrese: 195.242.236.131
Location: Belfast (54.583N, 5.933W)

Gruß

Axxus

[J.P.]

thx an gsh und inherited :)
;D