Zugriffe von außen --> Besteht hier Gefahr??

    Hallo Leute,
    betreibe kleinere Internetseiten (Joomla, Fotoalben) und habe diese seit meinem Erwerb der TS-419P von strato zu mir ins Wohnzimmer verlagert.


    Eigentlich hatte ich alles über Port 443 mit SSL laufen und Port 80 gar nicht geöffnet. So sahen meine Logs auch sehr sauber aus. Nun habe ich für ein befreundetes Paar Fotos von deren Hochzeit ins Netz gestellt. Die haben den Link auf ihre Danksagungskarten geschrieben. Nur leider haben sie einen entscheidenden Fehler gemacht: sie habe das "s" bei https vergessen. Also hatte ich zwei Möglichkeiten:


    1. Dem Paar mitteilen, dass der Link fehlerhaft ist und sie 150 Leute benachrichtigen müssen


    2. Port 80 zu öffnen und auf SSL zu verzichten.


    Ich dachte mir der einfachheit halber öffne ich Port 80, wäre ja schließlich nicht die einzige Webseite, die über diesen Port erreichbar ist :)


    So, nun zur Frage: Seit der Öffnung des Ports mehren sich komische Anfragen in meinem Apache-Log. Hab natürlich schon ein wenig gegoogelt und bei mittlerweile von meiner Panik wieder etwas runter, nur würde ich das gerne von den Experten hier nochmal begutachten lassen, da ich in diesem Gebiet sicher nicht als Experte zu bezeichnen bin :)


    Hier mal ein Paar Beispiele:


      93.206.171.121 - - [05/Aug/2010:19:58:09 +0200] "\xda\xbd{\xa3\x85P\x01]\t\xc4\x8f\xd2\x03\x1bt\xab\xa7\x02\x8d\xe0\x9d\t\xd3\x19\b7\x16\xd7\x12\xc3\xaa\x85\r\x03\xe3\xf3]\xcf\xba\xa4\x0c" 400 289
      202.130.32.19 - - [04/Aug/2010:10:47:37 +0200] "GET //phpmyadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 293
      58.218.204.110 - - [04/Aug/2010:18:01:00 +0200] "GET http://216.245.205.74/judge.php HTTP/1.1" 404 271
      221.12.156.181 - - [05/Aug/2010:23:53:55 +0200] "GET http://www.baidu.com/ HTTP/1.1" 200 520


    Nun ist ja bei den ersten 3 Beispielen ein 40X Fehlercode vom Apache gemeldet worden, von daher sind da meine Sorgen nicht so groß, aber beim letzten wurde mit dem Code 200 ja Erfolg gemeldet. Muss ich jetzt Panik kriegen?


    Für alle Antworten bedanke ich mich schon jetzt vielmals im Voraus !


    Gruß


    pennywise

    Hallöle,


    Also Panik solltest Du nicht kriegen (aber besonnen an die Sache rangehen!), aber die Konfiguration Deines Routers nochmals überdenken.
    Warum leitest Du nicht die Anfragen von Port 80 intern auf den https-Port des NAS um?


    Nun zur Panik:
    wenn ein GET auf eine Webadresse außerhalb Deines NAS einen Code 200 gibt, solltest Du die Konfiguration des Apaches auch nochmal prüfen, klingt fast so, als wäre der zum Proxy "umgebaut" worden. In diesem Falle dürfte Dir das NAS bereits nicht mehr gehören (administrativ meine ich), kurz Dein NAS wäre also erfolgreich gehacked worden. Um sicher zu gehen, solltest Du die komplette webroot nach Dateien absuchen, die definitiv nicht von Dir dorthin gelegt wurden.


    Solltest Du fündig werden, hilft nur noch das große Aufräumen (unter Sicherheit beschrieben)
    Grüße
    Jody

    Hallo,


    also ich höre gerade auf zu schwitzen, da:


    1. keine außer den meinigen Dateien im Webroot liegen


    2. Ich zur "GET http://www.baidu.com/ HTTP/1.1" 200 Anfragen folgendes im Netz gefunden habe:


    In this case, apache served (200 response) *my* home page (3847 bytes)
    on all such would-be proxy requests. Not a problem.


    Und da "meine Homepage" auch genau 520 byte groß ist, klingt das für mich auch logisch. Zumahl ich keine anderen GET anfragen bekomme, die mit 200 beantwortet werden (außer natürlich der gewollten, sprich joomla und fotoalben :-). Nur die von baidu.com


    Da ich sonst auch überhaupt keine anderen Anzeichen eines Hacks sehe: Was stimmt den nun?


    Ich hatte versucht Port 80 auf meinen internen https Port umzuleiten, aber da hat der Browser immer was gemeldet von: Bad Request, versuch von non-ssl auf ssl-port nicht möglich bla bla


    HILFE, WAS STIMMT denn jetzt?

    Wenn du es nicht gemäß jodys Anleitung checken kannst bzw. Unsicherheiten bleiben:


    Nutzdaten vom NAS sichern, plattmachen, neu aufsetzen und dann konsequent alles, was du aus dem Netz erreichen können willst, auf https legen.


    Die aktuellen NASse können das. Https erhöht die Sicherheit ein ganz schönes Stück. Zu Baidu findet man u.a. folgendes: http://de.wikipedia.org/wiki/Baidu, wenn dein NAS nur gecrawlt worden ist, wäre das noch nichts schlimmes - mit https wäre das wohl nicht passiert.


    Falls dein NAS kompromittiert ist, hast du ein Problem. Wenn du nicht sicher weißt, dass es nicht so ist, auch. Ergo: Neumachen.

    So, kleines Update:


    Habe im Firefox mal die IP des NAS-Webservers mit Port 80 als Proxy eintragen. Dann kommt egal welche URL ich aufrufe wie bei google gefunden nur meine Homepage. Folgendes hinterlasse ich im Log:


    192.168.2.16 - - [07/Aug/2010:20:21:39 +0200] "GET http://www.baidu.com/ HTTP/1.1" 200 520


    Also habe ich für mich geschlussfolgert:


    Jeman versucht mein NAS als Proxy zu verwenden, aber schafft es nicht.


    D.h. für mich: Ich wurde (zumindest diesbezüglich) nicht gehackt. Wie gesagt, es gibt auch sonst keinerlei ersichtlichen anzeichen..


    Aber trotzdem die Frage: Kann mich nicht irgendwie konfigurieren, dass solche Proxy-Anfragen komplett abgelehnt werden und nicht "nur" auf meine Homepage umgeleitet werden?


    Gruß


    pennywise

    So, noch ein Update,


    ich habe jetzt schon im Webroot eine .htaccess Datei, die einen Benutzernamen und Passwort benötigt. Diese hatte ich sonst nur auf die Unterordner verteilt.


    Somit kommt jetzt bei jedem Aufruf meiner webseite die Abfrage nach Benutzername und Passwort... hab wieder den "proxy-test" gemacht.. diesmal kommt im log die antwort: 401 !!


    Natürlich, weil ich keinen Benutzernamen und Passwort angegeben habe.. :)


    So, jetzt kann ich beruhigt schlafen gehen.. fürs erste :)


    ODER?

    Hallöle!

    Zitat von "pennywise"

    D.h. für mich: Ich wurde (zumindest diesbezüglich) nicht gehackt.


    Da Du Dir sicher bist, nicht gehacked worden zu sein, können wir diesen Teil ja abschließen. :roll:


    Zitat von "pennywise"

    Aber trotzdem die Frage: Kann mich nicht irgendwie konfigurieren, dass solche Proxy-Anfragen komplett abgelehnt werden und nicht "nur" auf meine Homepage umgeleitet werden?


    Ja, kann man! Allerdings erinnert mich dies irgendwie an die Frage Wie werde ich ein Hacker?


    Aber Spaß beiseite! Der Sicherheit zu liebe solltest Du Deine Bekannten bitten, die 150 Leute auf das fehlende "s" hinzuweisen!
    Andernfalls kann ich Dir nur das intensive Studium der Apache-Parameter in der httpd.conf ans Herz legen.
    Eine "mal-eben-schnell-Lösung" kann Dir hier keiner geben, dafür ist der Apache ein viel zu komplexes Stück Software.


    Aber vielleicht hilft auch ein kleines Stück PHP:

    PHP
    <?php
header('Location: ../');
?>


    Wobei der Teil ../ durch https://dein.dyndns.de ersetzt werden muss.
    Dies löst zwar nicht Dein ursächliches Problem, hilft aber die Umleitung "salonfähig" zu machen.


    Grüße
    Jody


    Zitat von "pennywise"

    So, noch ein Update...
    So, jetzt kann ich beruhigt schlafen gehen.. fürs erste :)
    ODER?


    Klar, wenn Du schlafen kannst!

    Du hättest sehen sollen, ich welcher Geschwindkeit der Schweiß auf meiner Stirn stand, nachdem ich deine erste Antwort gelesen habe :)


    Gerade die nächste Panikattacke: Nach Aufruf von ps sehe ich den Eintrag


    sshd admin@notty


    WER IST DAS... googlen und grübeln hats dann aber zu Tage gebracht: Es war eine nicht sauber getrennte Verbindung via WinSCP :)


    Hab auf jeden Fall genug Paranoia für heute .. ich bin mir jetzt einfach ziemlich sicher, nicht gehackt worden zu sein, also kann ich beruhigt schlafen :)


    Vielen Dank an ALLE Antworter..


    Aber weiterhin gilt: Wer hat Tipps zur Absicherung?


    Da kommt mir ein Gedanke: Gibt es nicht vielleicht ein HowTo für "Wie sichere ich meinen Apache bestmöglich ab" ???


    Wenn nicht, sollte es das geben.. aber wie ihr dem ganzen Thread entnehmen könnt: Ich wäre eher ein Nutzer als ein Autor :)


    Gute N8

    Naja, ich bin des Lesens sehr wohl mächtig.. aber gefunden bezüglich der apache sicherheit habe ich hier im Forum nicht wirklich viel...


    Was mir der Beitrag gebracht hat ist aber: Selber lesen und lernen und nicht panisch machen lassen...

    Tja, Ruhe ist des Bürgers erste Pflicht!


    Leider ist es in der Tat so, dass man sich vieles selbst erarbeiten muss.


    Grüße
    Jody