:-) Ich seh gerade bei mir im Apache Access Log, dass da einer wie ein Wilder (wahrscheinlich Script) versucht, einen Wordpress Blog zu knacken. Im Sekundentakt ruft er die login Seite auf. Ich hab ihn jetzt erst mal mittels explizitem deny in der .htaccess ausgesperrt. Dazu ist mir meine Festplatte zu schade, als dass die den ganzen Tag rattern muss :-) Gibt es sonst noch etwas, was ich tun kann? Oder bleibt mir jetzt nur abzuwarten, bis sein Skript aufgibt?
Karl H. schrieb: > Gibt es sonst noch etwas, was ich tun kann? Oder bleibt mir jetzt nur > abzuwarten, bis sein Skript aufgibt? :-) Plattenplatz hab ich noch genug. Es sind erst 2% einer Terrabyte Platte belegt. Von mir aus können die Log Dateien noch wachsen und wachsen und wachsen und ....
Ach ja. Seine IP ist 91.121.178.54 Aber die ist höchst wahrscheinlich sowieso falsch. Kurz vorher hatte er noch die IP einer amerikanischen Uni
Karl H. schrieb: > Aber die ist höchst wahrscheinlich sowieso falsch. Kann man denn die Quell IP einer Verbindung fälschen?
fail2ban kann man auch gleich noch für weitere dienste konfigurieren :)
Da D. schrieb: > Kann man denn die Quell IP einer Verbindung fälschen? Möglich wäre Proxy/VPN zum Bleistift. Michael H. schrieb: > fail2ban Läuft auf dem Mini-Server eines Kumpels von mir auch. Macht genau was der Name sagt, nach 2 fehlschlägen beim Login kommt der automatische Bann.
Michael H. schrieb: > fail2ban > > kann man auch gleich noch für weitere dienste konfigurieren :) fail2ban ist gut. Den hab ich schon drauf um SSH abzusichern. Da muss ich gleich mal nachsehen, was ich damit im Zusammenhang mit Apache bzw. mit dem Wordpress PHP Login Script damit anstellen kann. :-) Er ist immer noch da. Mein error Log füllt sich zusehends
Da D. schrieb: > Karl H. schrieb: >> Aber die ist höchst wahrscheinlich sowieso falsch. > > Kann man denn die Quell IP einer Verbindung fälschen? http://www.defense.at/sicherheitsfragen/q-t/spoofing.html
Wähle ein sicheres Kennwort und vergiss ihn. Irgendwann vergeht ihm der
Spaß.
Oder falls Dich Traffic nichts kostet und Du größeren Aufwand auf Dich
nehmen würdest, bau ihm eine Falle. Dafür würd ich das originale Script
aus der Schusslinie nehmen (anderes Verzeichnis z.B.) und ihm eine
suuuper login.php oder wie immer sie heißt hinstellen.
<?php
echo'Welcome A**hole, I have something for ya! ';
for ($a=0;$a<100000;$a++) {echo chr(mt_rand(0,255));}
?>
schüttet ihn schnell und billig mit 100kb Datenmüll zu, die auch
schlecht gepackt werden können. Der Server sollte genug freie
Rechenleistung für die hohe Anzahl Schleifendurchläufe haben.
ich würde einfach seine ganzen Anfragen an www.nsa.gov oder an www.bnd.bund.de redirecten.. Sollen die sich drumm kümmern ;)
Karl H. schrieb: > Seine IP ist 91.121.178.54 > Aber die ist höchst wahrscheinlich sowieso falsch. Nein die wird schon stimmen. Von den Servern kommen oft ganze Massen an Bots. Wenn dir langweilig ist, such doch mal bei Google "OVH spam bot". Kick gleich die ganze Range per .htaccess raus und du hast Ruhe. Im Juli 2014 listete das Spamhaus-Projekt den Anbieter auf Platz 1 unter den "Top 10" der "schlimmsten ISPs weltweit".[13] Die Vorwürfe umfassen fortgesetzte Dienstleistungen für Spammer, aber auch für Hacker und Botnet-Betreiber.[14] - https://de.wikipedia.org/wiki/OVH
Redirects gehen leider nicht, weil der Angreifer dem Redirect sicher nicht folgen wird. Damit teilt man einem Client nur mit, daß er das Dokument von einer anderen Adresse anfordern kann/soll. Ob er's macht oder nicht ist ihm überlassen. Man könnte auch eine Abuse-Meldung mit einem Auszug aus den Logfiles an den zuständigen Hoster schreiben. Allerdings ist der Erfolg bei einem Unternehmen, welches in der Vergangenheit Dienste für Spammer und Botnetzbetreiber angeboten hat eher fraglich. Die ganze IP-Range kicken? Kann man machen. Wahrscheinlich kommt von den Servern solcher Unternehmen sowieso nichts gescheites. Wenn Du ebenfalls Botnet-Betreiber bist, ein paar Freunde bei Anonymous hast oder richtig Ärger willst: DDOS-Gegenschlag auf den angreifenden Server.
Karl H. schrieb: > Da D. schrieb: >> Kann man denn die Quell IP einer Verbindung fälschen? > > http://www.defense.at/sicherheitsfragen/q-t/spoofing.html Geht nur im lokalen Netzwerk.
Kann man nicht die bekannte IP-Adresse immerzu anpingen, um sie zu verstopfen? MfG Paul
Kann man schon, aber dann bist du der Angreifer.
K. L. schrieb: > Kann man schon, aber dann bist du der Angreifer. Ja, aber der Kollege versucht doch, auf dem Rechner von Karl-heinz herumzufuhrwerken. Da soll er sehen, daß sich die Leute das nicht gefallen lassen. Das ist doch nicht in Ordnung! MfG Paul
Paul B. schrieb: > K. L. schrieb: >> Kann man schon, aber dann bist du der Angreifer. > > Ja, aber der Kollege versucht doch, auf dem Rechner von Karl-heinz > herumzufuhrwerken. Da soll er sehen, daß sich die Leute das nicht > gefallen lassen. Das ist doch nicht in Ordnung! Das seh ich persönlich zwar auch so. Ich habe aber auch gelernt, dass die Rechtsprechung manche Dinge anders sieht, als ich. Im übrigen hab ich mitlerweile auch gelernt, dass diese IP zu einer Firma gehört, die tausende Server betreibt. Ich denke nicht, dass ich die verstopfen hätte können. Im übrigen hat sein Script dann irgendwann in der Nacht aufgegeben. Persönlich bin ich zwar der Meinung, dass man solche Vollpfosten am besten ganz ben in den Baum hängt, aber das lässt sich heute nicht mehr durchsetzen. Ist auch gut so.