IIS zonder FTP, maar FTP werkt wel?!

[Cybex]

Ik heb een Citrix server draaien met daarop IIS geinstalleerd ivm Nfuse (van Citrix). Nu bleek tot mijn verbazing dat er nogal wat dataverkeer van die server kwam, na nader onderzoek bleek dat de server "gepubbed" was. Er stonden dus allerlei APPS, Games, Films, etc op. Goed, beveiliging was niet goed en daar wordt nu aan gewerkt. Nu probeer ik te onderzoeken hoe ze via FTP connectie kunnen krijgen met deze server. IIS is alleen geinstalleerd met de webserver, dus NIET met de FTP server. Op poort 8309 stond een FTP server, want als je daar op connect met FTP dan krijg je melding: "Welcome to another pubstro", enzovoorts.

Kan iemand mij uitleggen hoe ze hier FTP toegang kunnen krijgen? Ik kan namelijk geen FTP servers vinden...

[Erkens]

waarschijnlijk geen patches geinstalleerd waardoor deze gasten een ftpserver hebben kunnen installeren

[Reptile209]

Waarschijnlijk triviaal, maar is je IIS gepatcht? Anders heb je inderdaad alleen maar open deuren .
Die FTP-server is dan zo te zien los geinstalleerd (al dan niet door hackers). Zoek en vernietig!

edit:
Grrr... op 1 minuutje...

[ Voor 9% gewijzigd door Reptile209 op 31-03-2003 13:42 ]

[MikeN]

Cybex schreef op 31 March 2003 @ 13:37:
Kan iemand mij uitleggen hoe ze hier FTP toegang kunnen krijgen? Ik kan namelijk geen FTP servers vinden...

FTP servers worden vaak gerenamed, met name de naam svchost.exe wordt veel gebruikt. Doe is een search op je hd naar servudaemon.ini, ook in verborgen mappen, en \recycled etc. Dan moet je de server wel kunnen vinden.

[Cybex]

FTP server is niet geinstalleerd. Dat had ik al nagezocht...

[Cybex]

servudeamon.ini staat er ook niet op. Ik ben nu alle INI's aan het nakijken...

[RobIII]

Ik heb het ook een keer gehad, kijk eens in je Services. Vette kans dat FTP-ServU draait...
[rml][ W2K] FTP_Serv-U[/rml] voor meer

Bij mij stond 'ie in C:\WinNT\System32\Spool\Printers\Ports\Com1\Aux6\lakakis\... en verder dan \Ports kom je niet met een command prompt, en de onderliggende dirs verwijderen is me ook nooit gelukt.

Service stoppen en eruit gooien (ik geloof dat ik het toen via het register heb gedaan) en zorgen dat alles DICHT staat voortaan

[ Voor 52% gewijzigd door RobIII op 31-03-2003 13:54 ]

[MikeN]

Cybex schreef op 31 maart 2003 @ 13:51:
servudeamon.ini staat er ook niet op. Ik ben nu alle INI's aan het nakijken...

Dat moet natuurlijk servudaemon.ini zijn

[Zwelgje]

tja, als jij je citrix doos rechtstreeks aan het internet hangt heeft iedereen de mogelijkheid om een inlogpoging te doen op die machine

tis toch geen productiemachine mag ik hopen TOCH??

anders zou ik je aanraden iets als Citrix Secure Gateway te gaan draaien als het wel een prd machine is

[Cybex]

@Zwelgje, ik hoef geen preek hoe ik een Citrix server installeerd. Mijn vraag is hoe ik die FTP server kan vinden.

@ROBIII: Geen Servu FTP

[ Voor 14% gewijzigd door Cybex op 31-03-2003 13:59 ]

[RobIII]

Cybex schreef op 31 March 2003 @ 13:57:
@Zwelgje, ik hoef geen preek hoe ik een Citrix server installeerd. Mijn vraag is hoe ik die FTP server kan vinden.

@ROBIII: Geen Servu FTP

Just to be sure: Heb je in je "services" gekeken? Want op dat bestandje zoeken heb je geen ene moer aan (vind je namelijk niet. Zie ook de thread waar ik je in de vorige post op wijs). En anders zoek eens naar VNC o.i.d. want dat stond er bij mij toen ook op.

[ Voor 10% gewijzigd door RobIII op 31-03-2003 14:03 ]

[sh4d0wman]

als je er zelf naar toe ftp'ed, krijg je dan toevallig een banner van die server te zien?

er zijn namelijk nog al wat manieren om de ftp server in je pc te verbergen. ik neem aan dat je al in je process list hebt gekeken naar vreemde processen.

[Verwijderd]

zwelgje schreef op 31 maart 2003 @ 13:54:
tja, als jij je citrix doos rechtstreeks aan het internet hangt heeft iedereen de mogelijkheid om een inlogpoging te doen op die machine

tis toch geen productiemachine mag ik hopen TOCH??

Zelfs als het een produktiemachine is, is het nog wel te doen. Wat minder acceptabel is, is dat die FTP op een 8000 serie poort draait. Dus vermoedelijk zonder firewall.

Ideale config zonder CSG: (CItrix Secure Gateway)

NFuse op SSL port 443 (zonder SSL logt men in met plain text username password)
Citrix op poort 1494
Alle overige poorten dicht.
In de CMC server configuratie alle application resolving uitvinken. (er zijn perl scripts in de hackerswereld om daarmee namen van published apps te achterhalen.
Vreemde namen hanteren voor published apps (Bijv geen "Desktop" ofzo)
Dan is het relatief veilig, op Brute force na natuurlijk, daar heb je zeker gelijk in.

[Cybex]

Wat betreft de beveiling van deze server, hij stond in de DMZ. Dat was per ongeluk gebeurt en nu is dat opgelost.

[Verwijderd]

Cybex schreef op 31 maart 2003 @ 14:04:
Wat betreft de beveiling van deze server, hij stond in de DMZ. Dat was per ongeluk gebeurt en nu is dat opgelost.

Ik hoop dat je nog open staat voor advies, en dit niet als een preek ziet; staat NFuse nu op SSL, en staan die broadcast opties uit, om het optimaal te hebben?

[ Voor 5% gewijzigd door Verwijderd op 31-03-2003 14:12 ]

[Cybex]

Ja, NFuse staat op SSL en over welke broadcast opties heb je het?
Sorry dat ik eerder zo reageerde op Zwelgje, ik wil namelijk nu eerst die FTP server zien te vinden.

Kan je met IIS en alleen de webserver (dus geen FTP server) zowieso met FTP iets benaderen?

[RobIII]

Cybex schreef op 31 March 2003 @ 14:17:
<knip>Kan je met IIS en alleen de webserver (dus geen FTP server) zowieso met FTP iets benaderen?

Nee, als FTP in IIS uit staat, dan issie uit. Daarom hamer ik zo erop dat je moet kijken of er niet een of andere FTP server draait...

Wat staat er in je process list (zoals ook al eerder gevraagd)?...
En hoe meldt de FTP server zich als je ermee connect (als je dat lukt dan; ook al eerder grvraagd) ?

[ Voor 63% gewijzigd door RobIII op 31-03-2003 14:24 ]

[Verwijderd]

Cybex schreef op 31 March 2003 @ 14:17:
Ja, NFuse staat op SSL en over welke broadcast opties heb je het?
Sorry dat ik eerder zo reageerde op Zwelgje, ik wil namelijk nu eerst die FTP server zien te vinden.

Kan je met IIS en alleen de webserver (dus geen FTP server) zowieso met FTP iets benaderen?

Ja, je kunt met fouten in IIS, een cmd afvuren, die die ftp server dus via poort 80 installeerd. Alleen patchen helpt tegen zoiets. En uiteraard de IIS lockdown, maar dat hoef ik je waarschijnlijk niet uit te leggen.

Die broadcasts staan standaard aan, maar zijn niet nodig als er alleen NFuse gebruikt wordt, die alles via de XML poort verkrijgt.
In de CMC klik met de rechtermuis op de server, kies properties, en selecteer tab "metaframe settings". In het vakje "ICA Browser", alle 4 de opties uitzetten.

Voor de search gebruikers die dit later lezen: DIT GELD ALLEEN VOOR NFUSE.

[RobIII]

Verwijderd schreef op 31 March 2003 @ 14:24:
[...]


Ja, je kunt met fouten in IIS, een cmd afvuren, die die ftp server dus via poort 80 installeerd. Alleen patchen helpt tegen zoiets. En uiteraard de IIS lockdown, maar dat hoef ik je waarschijnlijk niet uit te leggen.
<knip>

En dan vooral dus URL-scan die onderdeel uitmaakt van IIS Lockdown. Let er tevens op dat er nieuwere versies zijn !!!

[Cybex]

De FTP server meld zich niet met een naam, hij zegt meteen: "welcome by another Tristar Pubstro" en dan nog een dosis informatie (bandbreedte, uploaded, downloaded, etc).

In de processlist staat niets bijzonders, ik heb jou ervaring doorgelezen maar dit kan ik totaal niet terug vinden. Ik ben nu per process aan het kijken wie de manufacturer is, in de hoop dat ik daar wat mee kan...

Nog meer suggesties?

Bedankt voor de suggesties hoe ik dit voorkom. Maar nu zou ik graag willen weten hoe ik die FTP server vind

[ Voor 14% gewijzigd door Cybex op 31-03-2003 14:41 ]

[sverzijl]

Kijk eens naar het tooltje TCPview van Sysinternals (http://www.sysinternals.com/ntw2k/source/tcpview.shtml)
Deze geeft per port aan wie de owner is, oftewel welk proces/executable er op een bepaalde port luistert.

[Cybex]

Aan de hand van het tooltje van sverzijl zie ik dat het process door svchost.exe wordt gebruikt. Niets bijzonders dacht ik, want toen ik de eigenschappen van svchost.exe opvroeg was het gewoon van Microsoft. Maar de desbetreffende svchost.exe stond niet in \WINNT, maar in \WINNT\REPAIR en daar kon ik geen eigenschappen van zien (naam ed.). Dus blijkbaar is dat dan de FTP server.

Iemand een suggestie hoe ik kan achterhalen welke FTP server dit is?
Nevermind, het is SERV-U inderdaad... Bedankt voor alle tips jongens!

[ Voor 9% gewijzigd door Cybex op 31-03-2003 15:08 ]

[RobIII]

Fijn dat je effe meldt hoe je nu tot die conclusie komt. Zo hebben anderen er niks aan als ze in de toekomst hetzelfde probleem hebben.

...en maar allemaal roepen "Use the search, Luke"

[Cybex]

Excuuuuuuse me ROBIII

In het register heb ik gezocht naar svchost.exe en na vaak F3 te hebben getoetst kwam ik uiteindelijk bij een aantal regkeys van SERV-U terecht...

[axis]

Maar dan nog.. vertrouw je zo'n comprimized machine nog volledig?

[Verwijderd]

sh4d0wman schreef op 31 maart 2003 @ 14:02:
als je er zelf naar toe ftp'ed, krijg je dan toevallig een banner van die server te zien?

er zijn namelijk nog al wat manieren om de ftp server in je pc te verbergen. ik neem aan dat je al in je process list hebt gekeken naar vreemde processen.

telnet naar de ftp port dan krijg je in 99% van de gevallen de ftp en versie nummer te zien...

[MAZZA]

axis schreef op 31 March 2003 @ 17:25:
Maar dan nog.. vertrouw je zo'n comprimized machine nog volledig?

Ja erg vreemd. Mijn routine zou toch grondig anders zijn nadat ik gehacked zou zijn. Want dat ben je overduidelijk.

Weleens gehoord van backdoors

[Icey]

Dan heb je het eraf, en komen ze via de achteringang weer naar binnen om opnieuw te installeren..

[Cybex]

Nee, zoals ik al eerder zei: de server stond in een DMZ, nu staat hij achter een firewall. Ookal staat er een trojan op, ze kunnen er niet meer bij komen. De server wordt uiteindelijk ook opnieuw geinstalleerd, maar deze week heb ik daar geen tijd voor.