Damn.. gehacked, heb ip's maar need help! plz!

[Jazzper]

Hallo lui,
heb ik weer, onze huis linuxserver is gehacked! Gaarne nu even geen discussie over hoe k*t voor elkaar show onze beveiling moet zijn geweest dan, maar hulp graag.
Ik had het door toen de verbinding eruit knalde en toen ging ik kijken, waren alle user accounts gewist... Die gast probeerde toen als root in te loggen maar dat ging dus effe niet. Heb meerdere IP adressen maar wil nu weten hoe ik;

1) die Ip adressen kan gebruiken om die gast ons bij wijze van spreken niet eens meer te kunnen laten pingen en

2) welke logs zijn interessant, er zijn zoveel logfiles?!

FYI:
64.29.66.199
61.123.157.234
212.93.155.233.catv.rdsor.ro

hiervandaan is gefukt met onze RedHat 6.2 server.

Plz help snel!

jasper

[Verwijderd]

ik zou hem niet laten leven...

[Verwijderd]

Op zondag 08 juli 2001 21:08 schreef the-gothic het volgende:
ik zou hem niet laten leven...

[edit] had laatst een kneus die bij mij in probeerde te breken NOT ---> nuke en die was pleite!!!

[Jazzper]

haha goed zeg! Welk proggie?
Ik snap het niet, heb 3 ip adressen, heb al een beetje lopen uitzoeken en 1 is in japan en 1 in roemenie.. jaja?

[Verwijderd]

zet het verhaal wel voort op icq..
wordt te erg..

[Verwijderd]

Slotje!!

Die zal vast niet zijn eigen ip adres zijn.
Gewoon zorgen voor betere beveiliging

[Zwelgje]

hoe zijn ze binnegekomen dan? een bekend lek?

wel de laatste security updates geinstalleerd?

de ip adresse kun je navragen waar ze vandaan komen, en vervolgens bij de provider van deze adressen gaan vragen wie op welk tijdstip deze adressen in gebruik had/heeft... heb ik ook ooit eens gedaan bij een hacker.... tja het duurt even maar dan wordt je toch echt wel gepakt!

[Jazzper]

nou eh.. mijn eigen computer met ICQ (dit is die van mijn huisgenoot) is nogal unit down...
Ik heb nl 4 opstartkeuzes, te weten abort,retry, fail or ignore.
Is dat niet lux? 16Meg lost clusters wist scandisk te vinden in de rootdir..
dus.. wordt weer formateren..

ik kiek wel eben!

[Verwijderd]

Op zondag 08 juli 2001 21:06 schreef Jazzper het volgende:
Plz help snel!

2 van de 3 IP's zijn volgens nmap UP:

Remote operating system guess: Linux Kernel 2.4.0 - 2.4.5 (X86)
Uptime 0.759 days (since Sun Jul 8 03:24:02 2001)

Remote operating system guess: Apple MacOS 9.04 (Powermac or G4)
Uptime 26.961 days (since Mon Jun 11 22:33:32 2001)

Gewoon server opnieuw installeren en een goeie firewall gaan bouwen.

[RG]

Twee Japanse IP adressen ja en 1 Roemeense. Ze draaien allemaal vrijwel niks, behalve een Japanner die draait FTP op een Apple bak ofzo.

BTW: heb je BIND geinstalleerd en staat poort 53 open?

[Jazzper]

Eh bind?
;-)
IT kennis is prima de lima maar specifieke beveligingskennis en dan ihb voor Linux is eh.. tja.. eh ... ietsje minder.

[Verwijderd]

Naast bind zijn ook ftp, telnet in combi met finger etc behoorlijk kwetsbaar.
Gewoon firewallen die shit.

[Mior]

Oh Boy..

Dat krijg je er nou van, linux op een inet pc zetten en er de ballen verstand van hebben.

[Verwijderd]

Op zondag 08 juli 2001 21:11 schreef the-gothic het volgende:

[..]

[edit] had laatst een kneus die bij mij in probeerde te breken NOT ---> nuke en die was pleite!!!

'nuke'?

.mack? of 1337 winnuke wat al 5 jaar niet meer werkt omdat niemand die vulne '95 used

djeez lul niet zo stom man
Als iemand je Linux box probeert te 'hacken/cracken' zal die daar toch echt een andere unix doos voor moeten gebruiken en daar werkt winnuke toch echt niet op hoor

[LAN]

Als je slim bent ga je er niet achteraan. In plaats van de tijd die je daar in zou steken zou je ook kunnen leren van wat ie gedaan heeft, en daar iets tegen doen. Gewoon je bakje herinrichten en beter securen.

Niet gaan roepen dat je die goosert wel even terug wilt hax0ren, blijf rustig en leer.

Volgens mij was /var/log/messages wel een van de belangerijkste (qua inlogtijd, ip en user)(kan me vergissen).

Had je die standaard ftp server van redhat 6.2 draaien? Daar zit dacht ik een lek in waardoor je als root commandos kunt uitvoeren.

Alvast succes.

[I_stealth_I]

ik heb nu ProFTPd draaien. Is ook nog opmerkelijk veel sneller met inloggen.

[razor-x]

Kan je niet gewoon een mailtje sturen naar zijn isp ? , met zijn IP's erbij , mischien hebben ze meerdere klachten gehad ,ofniet

had ik gedaan

Suc6 trouwens

[Verwijderd]

Meeste providers hebben een speciaal abuse ([e-mail]) emailadres voor dit soort dingen. Via nslookup kun je erachter komen bij welke provider de ip adressen horen die je hier noemt, maar ik geloof dat het al door een aantal mensen is uitgezocht.

Meer kun je denk ik (legaal) niet doen. Bovendien een goed moment om je eens meer in security te verdiepen.

[Jazzper]

Thanx voor alle respons.
In messages stond ineens ook een ftp trial van ene:
cc1938-a.ensch1.ov.nl.home.com
Hoe populair kun je zijn? ;-)
Het punt is dat ik wel stipt ben qua reilen en zeilen binnen de security maar de serer in huis is van een huisgenoot die eigenwijs is en security onzin vind zodat al onze poorten openstaan incl. FTP, HTTP, Telnet server en hij wilde zelfs maken dat je als root kon inloggen van buitenaf....
Hebben er al vaak ruzie over gehad, want ik vind dat absurd, maar het is "ZIJN" server.. ja en? Nou ja, nu leert hij het de hard way..

[Verwijderd]

Is inderdaad een veel gehoorde reactie. Mensen denken altijd dat het hun niet overkomt. Tot ze een keer gehackt worden.

Helaas komt dit niet alleen bij thuisgebruikers voor, maar ook bij erg veel bedrijven.

[Verwijderd]

volgens mij moet je geen red hat meer nemen. Kies iets anders, preferrably debian of OpenBSD.

Debian is gemakkelijk te onderhouden. OpenBSD is heerlijk minimalistisch EN goed gedocumenteerd. Dat maakt uitbreiden gemakkelijk.

[Jazzper]

Ik heb een keer met Debian gepield. Toen ik nog crap hardware had. Als in 10 diskettes van internet halen en aan de slag. Eenmaal klaar heb je 10x niks. Ok, je kan packages installeren, maar toch. Hoe is Freesco(?) dan? Ho wacht kappen nou, straks krijgen we andere discussie hier ;-)

[Verwijderd]

Tja, je zou een hele discussie kunnen starten over *BSD versus Linux, maar die monden meestal uit in flames dus dat doen we maar niet

De beveiliging van een server is net zo goed als de kennis van de beheerder op security gebied.

[Verwijderd]

Op maandag 09 juli 2001 00:09 schreef balou het volgende:
Tja, je zou een hele discussie kunnen starten over *BSD versus Linux, maar die monden meestal uit in flames dus dat doen we maar niet


De beveiliging van een server is net zo goed als de kennis van de beheerder op security gebied.

Wijze woorden!!!
Hetgeen ik zal/zou doen als ik gehacked zou worden is indeerdaad de IP's uitzoeken en een mailtje inclusief logs naar het betreffende abuse-adres sturen. Wie weet dat daarop stappen worden ondernomen.

Voor al die mensen die roepen "terughacken" etc geeft het wel aan dat ze niet voldoende verstand van zaken hebben waarschijnlijk.
Wie zegt dat de machines waarvandaan gehacked is zelf ook al niet gehacked waren o.i.d. Erg kortzichtig hoor.

Inderdaad zoals al gezegd is kan je beter je tijd steken in het beveiligen van je machine!!
Het valt tegenwoordig gewoon op hoeveel mensen ook met Linux erop gewoon een beveiliging hebben die niks waard is.

Beweringen als, "dan moet je die distro ook maar niet draaien" zijn nou ook niet echt de beste beweringen!! Zoals hierboven dikgedrukt te lezen is, begint de beveiliging bij de beheerder van de machine!

Houdt LOGs voortaan in de gaten, zorg voor een goed firewall, houdt dingen als bugtraq in de gaten. Zorg voor fantsoenlijke daemons. Draai niet meer services dan strict noodzakelijk. Draai geen services als superuser als dat niet nodig is.
Controleer permissies!
Installeer een log-analyzer.
Installeer tooltjes ala tripwire, bestands indexers etc etc.

Ofwel er is nu niet veel meer aan te doen. Laat dit een wijze les zijn voor de toekomst!

[Insano]

Op zondag 08 juli 2001 21:56 schreef Mainwave het volgende:
Gewoon firewallen die shit.

welke firewall is het beste dan? (voor WIN2K)

[Verwijderd]

Op maandag 09 juli 2001 00:54 schreef DSC het volgende:

[..]

welke firewall is het beste dan? (voor WIN2K)

Ghe volgens mij is dit NOS
Maar persoonlijk vind ik zonealarm PRO de beste firewall voor windows.

[jep]

Eigen schuld, dikke bult

Spijt me zeer, maar als je niets aan beveiliging doet vraag je erom.

Moet je trouwens vooral win2k gaan draaien

[Dualdude]

Op maandag 09 juli 2001 00:05 schreef CBravo het volgende:
volgens mij moet je geen red hat meer nemen. Kies iets anders, preferrably debian of OpenBSD.

Debian is gemakkelijk te onderhouden. OpenBSD is heerlijk minimalistisch EN goed gedocumenteerd. Dat maakt uitbreiden gemakkelijk.

RedHat doet niet onder voor Debian, je moet alleen zelf meer opletten, bij Debian word er door de community veel actiever op Exploits gelet. En als je het echt goed wilt doen neem je ook geen OpenBSB, maar NetBSD. NetBSD is primitief, maar wel redelijk veilig, veiliger dan OpenBSD iig.

[dinges]

Op zondag 08 juli 2001 21:32 schreef Mainwave het volgende:

[..]

2 van de 3 IP's zijn volgens nmap UP:

Remote operating system guess: Linux Kernel 2.4.0 - 2.4.5 (X86)
Uptime 0.759 days (since Sun Jul 8 03:24:02 2001)

Remote operating system guess: Apple MacOS 9.04 (Powermac or G4)
Uptime 26.961 days (since Mon Jun 11 22:33:32 2001)

Gewoon server opnieuw installeren en een goeie firewall gaan bouwen.

waar doe je dit mee???

[Verwijderd]

Op maandag 09 juli 2001 13:19 schreef Dualdude het volgende:

[..]

RedHat doet niet onder voor Debian, je moet alleen zelf meer opletten, bij Debian word er door de community veel actiever op Exploits gelet. En als je het echt goed wilt doen neem je ook geen OpenBSB, maar NetBSD. NetBSD is primitief, maar wel redelijk veilig, veiliger dan OpenBSD iig.

Dit slaat dus nergens op

http://www.openbsd.org/security.html

Bij het OpenBSD team draait het erom om zoveel mogelijk bufferoverflows te voorkomen door vele source code audits. Bij het NetBSD team draait het erom om op zoveel mogelijk platformen BSD aan te bieden. De originele OpenBSD source code stamt af van NetBSD...
FreeBSD en NetBSD stammen weer af van BSD 4.4Lite.

[Verwijderd]

Op maandag 09 juli 2001 13:28 schreef dinges het volgende:

[..]

waar doe je dit mee???

www.insecure.org/nmap

[dinges]

Op maandag 09 juli 2001 13:32 schreef paniek_ het volgende:

[..]

www.insecure.org/nmap

blijkbaar heb je linux nodig....
ach ja
ik wou het toch net gaan installeren

[afterburn]

...en toen ging ik kijken, waren alle user accounts gewist... Die gast probeerde toen als root in te loggen maar dat ging dus effe niet.

Niet om het een of ander, maar maak je geen illusies, want je box was al geroot. Zonder root rechten is het nl onder Linux/UNIX *onmogelijk* dit te doen.

[MAZZA]

Als je je bak maar opnieuw installeerd. Grote kans dat je nu een zombie bent in een netwerk voor DDoS attacks.. Of een backdoor ergens hebt zitten..

Altijd opnieuw installeren na een hack..

[Verwijderd]

Dualdude:
RedHat doet niet onder voor Debian, je moet alleen zelf meer opletten,

Juist... Dus doet het onder voor Debian.

bij Debian word er door de community veel actiever op Exploits gelet.

Juist... Dus is het veiliger. Daarnaast kan ik mijn computer 4 keer per dag van de nieuwste bugpatches laten voorzien zonder dat het mij moeite kost. IK BEN LIEVER LUI DAN MOE. Daarnaast lees ik op www.sans.org meestal niet zulke vrolijke dingen over Roode Hoed sw. In mijn straatje telt een gewaarschuwd mens voor 2.

En als je het echt goed wilt doen neem je ook geen OpenBSB, maar NetBSD

Dit is niet op feiten gebaseerd. Laatst kon ik mij herinneren dat er een fout in SSH zat. Alleen bij Debian en OpenBSD was 'ie er al uitgehaald... Je kent ssh wel he? Dat systeem dat was bedacht om de hele shit superveilig te laten verlopen.

Voor mij zijn deze dingen belangrijk:
-weinig moeite in onderhoud
-documentatie
-veiligheid en de "way of life" die erbij hoort.
-consistentie in implementatie

[Verwijderd]

Op maandag 09 juli 2001 13:19 schreef Dualdude het volgende:

NetBSD is primitief, maar wel redelijk veilig, veiliger dan OpenBSD iig.

Deze nomineer ik voor "grootste onzin van de week"-award.

[Verwijderd]

Op maandag 09 juli 2001 00:50 schreef nelske het volgende:
Wijze woorden!!!
Hetgeen ik zal/zou doen als ik gehacked zou worden is indeerdaad de IP's uitzoeken en een mailtje inclusief logs naar het betreffende abuse-adres sturen. Wie weet dat daarop stappen worden ondernomen.

Voor al die mensen die roepen "terughacken" etc geeft het wel aan dat ze niet voldoende verstand van zaken hebben waarschijnlijk.
Wie zegt dat de machines waarvandaan gehacked is zelf ook al niet gehacked waren o.i.d. Erg kortzichtig hoor.

Mag ik ze wel ff pesten door de deur voor hun neus dicht te gooien???

Ben trouwens al vaak zat van die script-shitties tegen gekomen... "Goh die PC van jou staat wagenwijd open" Waarop ik dan heel leuk zeg... "nou en moet ff luchten hè!"

Gelukkig heb ik een waakhond in dat wagenwijde open systeempje... *lol*
Heb ff toestemming gegeven dat ie zijn tandjes mocht uitproberen...

En prompt geen last meer van die heikneusjes...

HackTracer heeft trouwens nog de mogelijkheid om naast de deur dicht te meppen ook t spoor te volgen, en een e-mailadresje om de boel aan te geven...

Nooit gebruikt... alleen de melding ervan werkte al verduiveld goed...

[xshredx]

tja, ik zou wel een mailtje sturen naar de betreffende provider van die ip's, maar reken niet op veel medewerking van die zijde...
zo heb ik eens last gehad met klootzakjes die nazistische shit posten op ons messageboard, en hoewel ik verschillende mails gestuurd heb (waren drie verschillende providers, voor drie verschillende mensen), kreeg ik zelfs na aandringen nog niet de minste reaktie terug, laat staan dat ze actie ondernomen...
meeste providers hebben mijn inziens enkel een abuse@ adres omdat het goed staat, en ze kunnen doen alsof ze actie ondernemen...

maar met een mailtje te sturen doe je natuurlijk geen kwaad, dus kun je even proberen...

[Verwijderd]

Op maandag 09 juli 2001 13:28 schreef dinges het volgende:

[..]

waar doe je dit mee???

Ik had toch gezegd 'volgens nmap'!

[Verwijderd]

Op maandag 09 juli 2001 14:42 schreef CBravo het volgende:

[..]
Juist... Dus doet het onder voor Debian.
[..]

Hoezo kinderachtig, laten we er ff een wellus nietus spelletje van maken. Joepie.
Dus als je een cpu koopt waar een heel systeem bij zit, dan heb je een betere cpu?
Dacht het niet, de 1 wil er een systeem omheen, de ander juist niet, maar het is en blijft dezelfde cpu (of moet ik zeggen kernel).

[Myrdhin]

Op maandag 09 juli 2001 14:42 schreef CBravo het volgende:

[..]

Juist... Dus doet het onder voor Debian.

Niet juist. De grootste fout die je kunt maken is "security through obscurity". Je moet per definitie niet zomaar uitgaan van de standaard veiligheid van een distro. Of het nou RedHat, Debian, OpenBSD, NetBSD is.

[..]
Juist... Dus is het veiliger. Daarnaast kan ik mijn computer 4 keer per dag van de nieuwste bugpatches laten voorzien zonder dat het mij moeite kost. IK BEN LIEVER LUI DAN MOE.

Dus ben je ook te lui om te kijken of je updates wel goed zijn??? De ervaring leert ook dat je nooit zomaar even de laatste updates installeert. Lees liever eerst even door wat de update doet en of je 'm nodig hebt. Vertrouw zeker als het om een firewall gaat niet op allerlei prachtige auto-update features. En als het echt moet is er ook wel een perl-script wat ervoor kan zorgen dat je RedHat updates automatisch gaan. (up2date)

Daarnaast lees ik op www.sans.org meestal niet zulke vrolijke dingen over Roode Hoed sw. In mijn straatje telt een gewaarschuwd mens voor 2.

Als je RedHat voor zoiets gaat gebruiken strip je 'm ook handmatig. Zeker als het om een firewall omgeving gaat. Geen enkele distro biedt out-of-the-box firewall achtige zaken. Daarom heb je ook veel kennis nodig om zoiets op te zetten.

[..]

Dit is niet op feiten gebaseerd. Laatst kon ik mij herinneren dat er een fout in SSH zat. Alleen bij Debian en OpenBSD was 'ie er al uitgehaald... Je kent ssh wel he? Dat systeem dat was bedacht om de hele shit superveilig te laten verlopen.

SSH superveilig?? Ook ssh is geen wonderproduct. Ook kun je met ssh prachtige gaten schieten als je portforwarding niet goed gebruikt. Ook bij ssh moet je de config bestanden bekijken voordat je 'm in gebruik neemt. Ok, ssh is wel een stuk beter dan telnet maar zeker geen wondermiddel.

Voor mij zijn deze dingen belangrijk:
-weinig moeite in onderhoud

Ik hoop dat het regelmatig controlleren van log bestanden wel valt onder weinig onderhoud.

-documentatie

Hierboven beweer je van jezelf dat je liever lui dan moe bent. Lees je de docu dan ook??

-veiligheid en de "way of life" die erbij hoort.

De way-of-life die bij veiligheid hoort is dus zeker niet achteruit zitten en maar afgaan op een standaard instal van een "betere" distro.

-consistentie in implementatie

Neem van mij aan dat elke firewall achtige omgeving zeker geen standaard is. Elke omgeving is maatwerk.

Volgens mij is er weer genoeg stof tot nadenken.....

[LAN]

Maar om even terug te komen, FreeSCO vind ik een aanrader voor NAT firewalling. (ik weet niet hoe de capaciteiten zijn ivm ftp/http).
Simpel maar doeltreffend.

Afijn, tijd om je even te wijzen op de search, danwel de website www.freesco.org
Gewoon proberen (ook bijvoorbeeld free/netbsd) totdat je het os hebt gevonden dat voor jou geschikt is. (en waar je ook wat mee kan, niets is zo irritant als een os dat je tegenstaat)

[RG]

Op maandag 09 juli 2001 18:30 schreef Myrdhin het volgende:
Niet juist. De grootste fout die je kunt maken is "security through obscurity". Je moet per definitie niet zomaar uitgaan van de standaard veiligheid van een distro. Of het nou RedHat, Debian, OpenBSD, NetBSD is.

Daarom moet je ook gewoon Slackware nemen Die doet niks voor je, dus zul je wel iets moeten gaan doen. Niet voor luie mensen dus. Ongeveer hetzelfde geldt voor Debian en alle BSD varianten.
Ik hang al vier maanden non stop aan het internet (nou ja, als Essent niet lookpt te fucken) en ben nog niet gehackt. Er zijn wel een hele berg mongolen die met Sub7 lopen te scannen, is altijd grappig. Ik zou eigenlijk eens een valse Linux sub7 implementatie moeten schrijven, hebben die scriptkiddies ook weer wat te doen

nee maar ff serieus: beveiliging is belangrijk, maar een goede beveiliging is lastig en is meer dan op wat knoppen raggen in ZoneAlarm... De beheerder speelt hierin een grote rol, maar ook de software, wie zegt dat die veilig is??

[Verwijderd]

Nou wil ik toch even reageren Vooral omdat je een aantal goede punten aanhaalt die uit mijn post niet zomaar opgemaakt kunnen worden.

Myrdhin:
Dus ben je ook te lui om te kijken of je updates wel goed zijn??? De ervaring leert ook dat je nooit zomaar even de laatste updates installeert.

De updates van security.debian.org neem ik zonder probleem over. Wel heeft apt-get de mogelijkheid om stable/unstable/testing upgrades te maken. Zo kun je dus voorkomen dat je de allerlaatste updates neemt.

Geen enkele distro biedt out-of-the-box firewall achtige zaken

Bij Linux niet, OpenBSD zeker wel. Daarnaast kost OBSD errug weinig tijd om te installeren (20 minuten ofzo).

SSH superveilig?? Ook ssh is geen wonderproduct.

Dat is waar en dat beweerde ik ook niet. Het is beter dan telnet (laatst was onze firewall/DNS op de uni gehacked... toen voelde ik me toch lullig dat ik nog telnette). Als er wonderprodukten zouden bestaan zou het niet uitmaken wat je gebruikt... Het gaat juist om de implementatie.

Ik hoop dat het regelmatig controlleren van log bestanden wel valt onder weinig onderhoud.

Ik ga het adres er niet onder zetten, maar snort_stat maakt 'n homepage met een overzichtje van de nieuwste scans en attacks (gecronned om de 15 minuten). Abuse mails sturen is een van mijn favoriete bezigheden hehe. Daarnaast kijk ik ook graag naar mijn logs. Vooral rond de logrotate tijden...

Hierboven beweer je van jezelf dat je liever lui dan moe bent. Lees je de docu dan ook??

'Liever'... waar een effort nodig is zal hij er bij mij zijn. Maar waar het geautomatiseerd kan zijn doe ik dat. Ik ben er ook wel weer die uren aan z'n .emacs kan zitten omdat het sneller kan.

De way-of-life die bij veiligheid hoort is dus zeker niet achteruit zitten

How true...

Bye, David

[Verwijderd]

Op maandag 09 juli 2001 19:26 schreef Groot-Moefti het volgende:

[..]
Daarom moet je ook gewoon Slackware nemen

Mee eens!
Evenals Trustix, die runt ook praktisch geen services automagicly, just the way I like it.

[Myrdhin]

CBravo: Ok je reactie heeft een hoop duidelijk gemaakt. Hoewel ik het niet helemaal eens ben met de stelling dat OpenBSD out-of-the-box firewall mogelijk maakt. De middelen zijn er wel, maar die moet je wel goed configureren. Ik weet helaas te weinig van OpenBSD af om hier een oordeel over te geven.

Het automatiseren van dingen is natuurlijk wel handig als je steeds vaker dezelfde handelingen moet doen.

En natuurlijk schuilt in iedereen hier de tweaker die echt alles wilt weten en inderdaad aan z'n .vimrc gaat prutsen totdat ie het beter doet......

[man-o-script]

Op maandag 09 juli 2001 00:54 schreef DSC het volgende:

[..]

welke firewall is het beste dan? (voor WIN2K)

voor win2k zou ik atguard gebruiken, heel erg uitgebreid en je ziet psiez wat er gebeurd, en alle poorten vallen netjes per programma in te stellen enzo...

[Verwijderd]

over dat openbsd. Dat kreeg ik running nog voordat ik m'n linux goed werkend kreeg... De documentatie is heel goed. Daarnaast is er ook altijd veel te vinden op www.bsdtoday.com (veel howto's en verhalen van newbies) kijk dan bij de HOWTOs.

btw: kun je bij vim ook je editor programmeren?

[edit]... het karige maar weggehaald ...

[Verwijderd]

Op maandag 09 juli 2001 19:56 schreef CBravo het volgende:
over dat openbsd. Dat kreeg ik running nog voordat ik m'n linux goed werkend kreeg... De documentatie (van de karige hoeveelheid software) is heel goed. Daarnaast is er ook altijd veel te vinden op www.bsdtoday.com (veel howto's en verhalen van newbies) kijk dan bij de HOWTOs.

btw: kun je bij vim ook je editor programmeren?

Karige hoeveelheid software? Heb je de ports collectie weles van dichtbij bekeken? En weet je toevallig ook dat OpenBSD Linux emulatie bied?

[Verwijderd]

Op maandag 09 juli 2001 19:53 schreef SiR_prozaQ het volgende:
http://www.hero.com/HyperNews/get/sucks/32.html?embed=2&outline=1

Das nou al de 3e keer dat je die link in NOS plaatst!
Bezig voldoende posts tte halen voor de HK of SG Is toch absoluut niet ontopic?

Back ontopic: Ik moet altijd lachen om al die mensen die slechts een distro/OS aan raden!
Net alsof er maar een de beste kan zijn!
Het ligt toch echt aan de gebruiker zelf hoor en zijn wensen.
En als je echt een goede distro wil hebben, dan bouw je er toch zelf een m.b.v. LFS!

[Myrdhin]

Op maandag 09 juli 2001 19:56 schreef CBravo het volgende:
[..]
btw: kun je bij vim ook je editor programmeren?

Nee dat niet. Maar je kunt wel allerlei macro's maken waarmee je een aantal commando's achter elkaar kunt uitvoeren. Of veelgebruikte commando's wat makkelijk onder toetsen stoppen. Een soort van scripting taaltje dus.

[serkoon]

Op maandag 09 juli 2001 18:30 schreef Myrdhin het volgende:

[..]

Niet juist. De grootste fout die je kunt maken is "security through obscurity".

FYI:

Security through obscurity is het beveiligen dmv het verdoezelen of onjuist laten vermelden van informatie, bijvoorbeeld versienummers of zelfs namen van draaiende software.

Al is het alleenstaand niet bepaald een slimme manier je systeem te beveiligen, toch biedt het wel wat extra bescherming. Bijvoorbeeld: als iemand een /8 bijlangsscanned op zoek naar bind zoveel en jouw named geeft als version "This attempt has been logged as a security incident", dan loop je minder risico gehacked te worden, ookal is de versie die jij draait vurnerable.

[Verwijderd]

Op maandag 09 juli 2001 21:00 schreef serkoon het volgende:

[..]

FYI:

Security through obscurity is het beveiligen dmv het verdoezelen of onjuist laten vermelden van informatie, bijvoorbeeld versienummers of zelfs namen van draaiende software.

Al is het alleenstaand niet bepaald een slimme manier je systeem te beveiligen, toch biedt het wel wat extra bescherming. Bijvoorbeeld: als iemand een /8 bijlangsscanned op zoek naar bind zoveel en jouw named geeft als version "This attempt has been logged as a security incident", dan loop je minder risico gehacked te worden, ookal is de versie die jij draait vurnerable.

Overigens moet je wel heel erg op letten met dit soort dingen. Het is nog verstandiger om een versie terug te geven die helemaal niet bestaat, dan een dergelijke waarschuwing.
Vaak zorgt dit ervoor, dat het de persoons interesse wekt.. Wat zal er dan wel niet achter zitten, als je zo'n melding terug krijgt.
Hetzelfde verhaal voor al die mensen die geen telnet-daemon op hun server hebben draaien, maar wel een scriptje draaien op poort23 die de persoon die op die poort connect voor vanalles en nog wat uitmaakt

Voorzichtigheid is geboden bij dat soort meldingen. Houdt het netjes en de kans dat ze iets proberen is vele malen kleiner, dan wanneer je ze min of meer uit gaat dagen.

[Myrdhin]

Op maandag 09 juli 2001 21:00 schreef serkoon het volgende:

[..]

FYI:

Security through obscurity is het beveiligen dmv het verdoezelen of onjuist laten vermelden van informatie, bijvoorbeeld versienummers of zelfs namen van draaiende software.
[..]

FYI: http://www.tuxedo.org/~esr/jargon/html/entry/security-through-obscurity.html

[serkoon]

Dan ga ik over op de AND ipv NOT

Zie bijv:

http://studenti.ing.unipi.it/local_doc/Howto/HTML/Security-HOWTO14.html

[Myrdhin]

Ok.. Beide gelijk. Er zijn blijkbaar nogal wat manieren om het uit te leggen. Overigens kwam mijn vorige posting over alsof die link het enige goede was.. Dit was niet de bedoeling....

[serkoon]

Ok

Ontopic:

Logfiles - kijk naar ALLE logs, kijk naar de accesstijden, de logfiles kunnen in principe aangepast zijn. Ik verwacht het niet, aangezien de h4x0rd00d niet echt als een briljant persoon op me overkomt, mgoed

Je kunt met het proggie 'last' zien wie er het laatst ingelogd heeft en vanaf waar. Misschien dat je daar nog wat uit kunt halen. Bovendien lijkt het me handig te weten HOE je gehacked bent, dwz, dmv een bug in bind, wuftp (RH6.2 en wu zijn erg gewild) of iets anders?

Als je dat ongeveer weet kun je altijd voor de lol nog naar een rootkit kijken, maar dat zal ook wel niet geinstalleerd zijn.

En ohjah: schop die huisgenoot!

[RG]

Op maandag 09 juli 2001 19:30 schreef CBravo het volgende:
Bij Linux niet, OpenBSD zeker wel. Daarnaast kost OBSD errug weinig tijd om te installeren (20 minuten ofzo).

Trutix wel eens geprobeerd?? Dat is een speciale Linux versie voor een veilig serversysteem. Dus eigenlijk hetzelfde als wat de OpenBSD is in de BSD reeks zeg maar...

[Verwijderd]

Op maandag 09 juli 2001 21:06 schreef nelske het volgende:

Hetzelfde verhaal voor al die mensen die geen telnet-daemon op hun server hebben draaien, maar wel een scriptje draaien op poort23 die de persoon die op die poort connect voor vanalles en nog wat uitmaakt

Hee kewl.... Knu je een downloadlocation geven waar ik zoiets vind? Wil ik wel eens proberen op mijn oBSD-tje

[Verwijderd]

Ik kan het effe laten na gaan als je wil?!

[Verwijderd]

Op zondag 08 juli 2001 21:06 schreef Jazzper het volgende:


FYI:
64.29.66.199
61.123.157.234
212.93.155.233.catv.rdsor.ro

http://www.mapblast.com/myblast/map.mb?CMD=LFILL&CT=33.708333%3A-117.758333%3A200000&IC=33.708333%3A-117.758333%3A8%3A&Zip=92620&W=456&H=259&GC=X%3A-117.758333%7CY%3A33.708333%7CLT%3A33.708333%7CLN%3A-117.758333%7CLS%3A200000&lv=6&serch=&FS=&MA=1&myzoom.x=76&myzoom.y=12

dat is van ^^deze^^ ip: 64.29.66.199
de rest doe ik nog effe daar moet in PC staan dat is in MIDDEN amerika

http://www.mapblast.com/myblast/map.mb?CT=35.708333:139.725:200000

Dit is Tokyo hier boven de LINK ^^^ van dit ip:61.123.157.234

http://www.mapblast.com/myblast/map.mb?CT=48.141667:11.575:200000

is van het laatste ^^^ IP:212.93.155.233.catv.rdsor.ro
dat is duitsland Munchen

Alstublieft
ik weet nie of je er wat aan hebt

[Mior]

Op dinsdag 10 juli 2001 10:23 schreef Qorne een vrij ongeloofwaardig verhaal:

IP binden aan een lokatie

Doe het voor de lol eens op mijn ip: 212.187.84.133

Lijkt me sterk als dat naukeurig is. Hoogstens kun je de eigenaar van het netblock opzoeken.

[Prozaq]

idd, en van 212.93.155.233.catv.rdsor.ro zou je vewachten dat dat een isp is in roemenie oid

[Verwijderd]

jammer maar jij hebt Chello en dan kom ik niet echt ver tenzij je in amsterdam woont

[Verwijderd]

ik weet ook nIET altijd zeker dat alles 100% verloopt

en op een vage manier gaan MEER mensen in Nederland NIET goed buitenland gaat supe maar Nederland

[Mior]

Dat dacht ik wel.

En het domain rdsor.ro is inderdaad van een bedrijf in romenie.

domain-name: rdsor.ro
description: Romania Data Systems
description: Str. Sf. Vineri nr. 25
description: Bl. 105C sector 3
description: Bucharest, Romania
description: Phone: [phone]
description: Fax: [phone]

[Verwijderd]

Op dinsdag 10 juli 2001 10:23 schreef Qorne het volgende:

[..]

is van het laatste ^^^ IP:212.93.155.233.catv.rdsor.ro
dat is duitsland Munchen

Alstublieft
ik weet nie of je er wat aan hebt

Tuurlijk .ro is is Duitsland

Klik even op de onderstaande url

http://www.ripe.net/perl/whois?query=212.93.155.233

[Verwijderd]

Op dinsdag 10 juli 2001 11:26 schreef paniek_ het volgende:

[..]

Tuurlijk .ro is is Duitsland

Klik even op de onderstaande url

http://www.ripe.net/perl/whois?query=212.93.155.233

weet ik ik vond he ook al vaag Duitsland maar dat zeggen ze dus maar er werd bij vermeld dat ht NIET 100% was dat had ik er effe bij moeten zetten sorry mijn excuse

[Verwijderd]

Op dinsdag 10 juli 2001 11:30 schreef Qorne het volgende:

[..]

weet ik ik vond he ook al vaag Duitsland maar dat zeggen ze dus maar er werd bij vermeld dat ht NIET 100% was dat had ik er effe bij moeten zetten sorry mijn excuse

Wie zegt dat?

[Verwijderd]

ik toch
nee waar ik dat mee doe

[Verwijderd]

webblast ofzow? use traceroute instead

[dinges]

Op maandag 09 juli 2001 13:32 schreef paniek_ het volgende:

[..]

www.insecure.org/nmap

uhhh....
wat moet ik denken van dat difficulty??

[Verwijderd]

Sinds wanneer zijn IP's plaatsgebonden
heel leuk hoor zo'n progje, maar het zal in 99% van de gevallen niet naar behoren werken.

Op dinsdag 10 juli 2001 17:38 schreef dinges het volgende:

[..]

uhhh....
wat moet ik denken van dat difficulty??

Wat bedoeel je nu precies
een goede uitleg/vraag is het halve werk

[dinges]

Op dinsdag 10 juli 2001 17:44 schreef nelske het volgende:
Wat bedoeel je nu precies
een goede uitleg/vraag is het halve werk

uhm...
er staat na het scannen met dat programma:

TCP sequence prediction: Class=random positive increments
-----> Difficulty=1158340 (Good luck) <---------

[Verwijderd]

Dat geeft aan hoe goed/slecht de gescande server beveiligd is (qua firewall dan)

[dinges]

Op dinsdag 10 juli 2001 17:52 schreef nelske het volgende:
Dat geeft aan hoe goed/slecht de gescande server beveiligd is (qua firewall dan)

aha
maar iemand met 1 poort open was "easy"
iemand met 3 poorten open was "medium"
en iemand met 12 poorten open was "good luck"

dus het is zeker net andersom?
good luck = makkelijk hacken
easy = moelijk?

[Verwijderd]

Die difficulty geeft aan hoe goed de tcp/ip stack van een bepaald OS is. Bij een slechte TCP/IP stack kun je de TCP sequence nummers raden, bij een goede stack dus niet. Als je de sequence nummers kan raden zou je verbinden kunnen kapen.

Dus hoe hoger de difficulty hoe beter de stack en des te slechter de sequence nummers te raden zijn.

[serkoon]

Op dinsdag 10 juli 2001 17:52 schreef nelske het volgende:
Dat geeft aan hoe goed/slecht de gescande server beveiligd is (qua firewall dan)

Niet waar. Dat geeft aan hoe willekeurig de eerste (initial) TCP-sequence nummers zijn. Een w9x doos en NT4 hebben bijv difficulty "5 - Trivial time dependency - Must be a joke" (oid), dwz, de eerste TCP-sequence nummers, bij maken van een connect lopen netjes lineair op per tijdseenheid, zodat ze te raden zijn.

Heeft dus ook weinig te doen met de firewall, maar wel met de tcp/ip stack in de kernel.

[Verwijderd]

/me heeft wat bijgeleerd
Dacht altijd dat het aan de firewall lag.
Nou ja zo vaak gebruik ik nmap ook niet

[dinges]

aha
ik snap het
bedankt allen

[RG]

Op dinsdag 10 juli 2001 17:44 schreef nelske het volgende:
Sinds wanneer zijn IP's plaatsgebonden
heel leuk hoor zo'n progje, maar het zal in 99% van de gevallen niet naar behoren werken.

Sinds dat er kabelinternet is. Als je mijn IP weet (213.51.214.186 op het moment) kun je vrij naukeurig bepalen waar ok woon dor een simpele traceroute. @Home geeft servers enzo namelijk heerlijk structurele namen. Nu hoef je alleen nog maar een grote bom te hebben om mij uit de weg te ruimen

[Verwijderd]

Op maandag 09 juli 2001 00:08 schreef Jazzper het volgende:
Ik heb een keer met Debian gepield. Toen ik nog crap hardware had. Als in 10 diskettes van internet halen en aan de slag. Eenmaal klaar heb je 10x niks. Ok, je kan packages installeren, maar toch. Hoe is Freesco(?) dan? Ho wacht kappen nou, straks krijgen we andere discussie hier ;-)

Dan doe je toch iets fout lijkt me. Als je Debian installeert, heb je gewoon de optie om meteen dingen als X, apache, proftpd enzo mee te nemen in de installatie.

[Verwijderd]

Hier een overzicht van vulnerabilities van de laatste paar jaren. Wel goed lezen. De packages en de OS vulnerabilities zijn uitelkaar gehaald. Qua OS doet Red Hat het niet zo goed maar Debian valt me ook tegen.

BSD/OS, slackware, turbolinux, macos en openbsd doen het relatief goed.

[edit]De serieusheid van de verschillende vulnerabilities is nog niet eens hierdoor beschreven. Daardoor komt windows er nog goed vanaf.

[tweakerbee]

Op dinsdag 10 juli 2001 11:09 schreef Phantom_ het volgende:

[..]

IP binden aan een lokatie

Doe het voor de lol eens op mijn ip: 212.187.84.133

Lijkt me sterk als dat naukeurig is. Hoogstens kun je de eigenaar van het netblock opzoeken.

FlevoLand?