Probleme mit S4U

[fl_dutch]

Weil ich mir ziemlich sicher bin das mein vserver nicht geroutet wurde (oder wie dat inna Hackasprache heist)..
Trozdem war ich von dem Ausfall auch betroffen!

Das ist nicht dein ernst? Du hast nen vServer und weisst nicht was Routing ist? Dann wundert es mich auch in keinster Weise, warum es dort nen Outgoing DDoS gegeben hat.

Erklärungsversuch für die ständigen Ausfälle bei S4Y:
Preiswerte Serverangebote locken natürlich auch viele Leute, die von der Materie nicht viel Ahnung haben, und deren (v)Server dann für solche DDoS Attacken missbraucht werden. Echte Firmenkunden halten ihre Server sicher - daher sind bei Hostern mit vielen Firmenkunden weniger Ausfälle zu verzeichnen?

 

[Firewire2002]

Echte Firmenkunden halten ihre Server sicher

Na ich darf doch bitten.
Da klingt fast so als wären alle privaten Server offene Scheunentore.

Unternehmen machen bei der Administration ihrer Server die gleichen Fehler wie Privatkunden. Nur leider gibts wesentlich mehr unbetagte Privatkunden als unfähige Admins bei den Unternehmen.

 

[fl_dutch]

@Firewire2000: Das wollte ich damit auch sagen.

 

[Abraxas]

DIII-DereX wie kannst du sicher sein das "DEIN" vserver nicht betroffen war ? Du teilst ihn dir ja schließlich mit xxx anderen Usern.
vor allem trifft eine derartige Attacke nicht nur 1 Server.

Was mehr stört ist die nicht/kaum vorhandene Informationspolitik seitens s4y.
Ich fände es nicht sehr Zeitaufwendig wenn es eine Informationsseite gäbe wo der Status mit eventuellen fehlern der Server einsehbar ist.

Ich habe mit sicherheit die letzte Zeit durch div Aktionen seitens s4y auch kaum ein gutes Haar an denen gelassen und bereute es schon das wir erst unser Paket hochgebucht haben (bin ja nun auch schon mehr als 3 oder 4 jahre dort Kunde).
Aber man kann deswegen nicht jedes Problem generell nur dem Hoster zuschreiben, dazu hängt das alles von zu vielen Faktoren ab.

klar ist doch auch das wenn ich einen vserver habe es durch die vielzahl der mitbenutzer eher zu Problemen kommen kann als wenn ich einen komplett eigenständigen Root habe (was man auch daran erkennt das es überwiegend vserver betrifft). Hierüber sollte man sich schon im klaren sein wenn man die etwas günstigere (jetzt bitte keine Preisdiskussion) wählt.

Was aber durchaus momentan stark zu bemängeln ist wäre die o.g Informationspolitik.
Ich denke auch mal das wenn mehr Informationen seitens s4y fließen würden (immer noch auf eine status Seite mit eventuellen problemmeldungen plädiere)
Ihre Hotline enorm entlastet würde.

Eigentlich ist zu Mitte/ende des jahres ein neuer Server bei mir zusätzlich geplant ob ich den dann wirklich noch bei s4y nehme ist noch nicht so sicher.
Wobei es schade ist nach nun doch schon ein paar tagen längerer ansonsten einst mal zufriedenstellender Zusammenarbeit.

edit:

Zitat von fl_dutch Beitrag anzeigen
Echte Firmenkunden halten ihre Server sicher

Ach ja ??? dann schau mal gelegentlich auf zone-h.org vorbei, neben etlichen privaten pages finden sich auch immer mal "Echte Firmen" darunter.^^

 

[Firewire2002]

Ich muss sagen die Informationspolitik hat sich aber stark gebessert.
Vor einem Jahr hast zu solchen Ausfällen gar keine Informationen bekommen oder erst eine/zwei Wochen später.

Nun kommen die Infos ja schon unmittelbar danach mit einem Inhalt den ich für aktzeptabel halte.

 

[DIII-DereX]

Wenn ein Server nicht geroutet wird (hat überhaupt nichts mit Hacken zu tun) ist die logiche Schlussfolgerung, dass dieser nicht erreichbar ist.
Was wiederrum zur Folge hat, dass du von dem Ausfall betroffen bist.

Mensch Leute, ein minimalistisches Grundverständnis für Netzwerke darf man doch wohl erwarten, wenn Server gemietet werden.

"Er wurde nicht geroutet" im Sinne von ein "Hacker" hat sich Zugang verschaft und nun werden alle spezifischen Pakete von diesem Server weitergeleitet um die Herkunft des Angriffes zu verbergen.
Sollte eigentlich ein bekannter Begriff sein...

Ich denke man kann davon ausgehen das alle Serveradminis. hier dieses minimalistisches Grundverständnis haben

 

[Firewire2002]

Du meinst wohl eher "gerootet" und nicht "geroutet".
Das ist ein mächtiger Unterschied.

Auch wenn die Ausdrucksweise wohl eher von Scriptkiddys genutzt wird und nur von wenigen seriösen Administratoren.

 

[DIII-DereX]

Du meinst wohl eher "gerootet" und nicht "geroutet".
Das ist ein mächtiger Unterschied.

Auch wenn die Ausdrucksweise wohl eher von Scriptkiddys genutzt wird und nur von wenigen seriösen Administratoren.

Sorry, ich spreche nicht sehr gut deutsch und da kann es passieren das ich etwas falsches deutsch schreibe oder solche Begriffe nicht richtig wiedergebe
deshlab schieb ich auch -->(oder wie dat inna Hackasprache heist)<--
Ist Routing ein Begriff der Hackersprache?
Jedenfalls meinte ich: Er wurde nicht gerootet

 

[Firewire2002]

Was ich gemeint habe sollte doch eigentlich klar sein wenn man eine gewisse Ahnung davon hat

Glaub mir, wir haben Ahnung.
Und wir interpretieren nur das was du schreibst.
Wenn du mit Fachbegriffen nicht umgehen kannst (siehe mein Post zuvor), dann lass sie besser weg.

Anstatt dich darüber aufzuregen, dass Andere deine Gedanken nicht lesen können, um deine Schreibfehler zu korrigieren.
Ein Buchstabendreher hat hier nunmal weitreichende Folgen.

 

[Firewire2002]

Ist Routing ein Begriff der Hackersprache?

Reden wir nun vom richtigen "Routing" oder vom "Rooting"
Routing gehöhrt zur Netzwerktechnik (Vermitteln von Datenpacketen über mehrere Stationen hinweg - Alltag im Internet).
Rooting (dämlicher Begriff, gibts schönere Umschreibungen dafür ) kommt aus der Hackerszene.

 

[DIII-DereX]

Nun weis ja jeder was ich gemeint hatte!

DIII-DereX wie kannst du sicher sein das "DEIN" vserver nicht betroffen war ? Du teilst ihn dir ja schließlich mit xxx anderen Usern.
vor allem trifft eine derartige Attacke nicht nur 1 Server.

Mein virtueller Server war betroffen!
Trozdem schrieb mbroemel das Kunden gesperrt wurden und nicht Rootserver oder ganze Serverracks von denen diese Attake kam.. Deshalb kann ich nur schwer glauben das die Aussage der Wahrheit entspricht!

und ps.
Ich bin mir der Unterschiede zwischen den beiden Begriffen die hier diskutiert weden durchaus im Klaren!

 

[Firewire2002]

RootServer waren gar nicht betroffen, nur vServer.
Wenn genügend vServer kompromitiert wurden, sodass eine große Anzahl von Servern eine Attacke gestartet haben. Kann es durchaus dazu führen das die ausgehenden Verbindungen die Router überlasten.
Fallen die Router dann aus, sind natürlich noch wesentlich mehr andere Server von diesem Ausfall betroffen.

 

[Thorsten]

Hallo!
Es wäre für den Anbieter sicherlich unproblematischer gewesen, es mit einem Hardwareausfall zu begründen. Insofern halte ich die Aussage DDos schon für ehrlich und plausibel.

mfG
Thorsten

 

[mbroemme]

Hi,

nunja Root-Server 100 MBit, vSERVER Hostsystem 1000 MBit. Rechne nach, wenn mehrere VEs auf unterschiedlichen Hosts eine DoS starten. Damit kann man ziemlich empfindlich jede Infrastruktur stoeren. Ob mir das nun einer glaubt oder nicht sei dahingestellt, fuer sowas gibt es den Rechtsweg.

PS: Es war via Botnetz.

 

[DIII-DereX]

kleine Ergänzung an die Wiedersprecher

Wie kann ein Server überhaupt geroutet werden? Solange es kein Peer to peer System ist steht der Server als letzte Stelle von gerouteten Packeten die entweder vom Server oder zu dem Server gehen.
Also werden wenn überhaupt Pakete geroutet und Server getraced oder gerootet wenn ein Dritter sich Zugang verschaft hat
und wenn dieser Dritte Pakete von diesem Server weiterleiten lässt dann trifft es am ehesten die Bezeichnung "Ein Server wurde geroutet"
Da ich für meinen Teil mich mit Hackersprache nicht auskenne. Aber gut das ihr darüber genau bescheid wisst

Da ihr so Experten seit dann kann ich ja vielleicht euch mal fragen warum ein Router nach 70 Sekunden immenroch auf eine Pinganfrage antwortet. Oder wieso sind im Intergenia Netzwerk Router teilweise für mehrere Sekunden blockiert?
Wie kann soetwas passieren? fl_dutch, Firewire2002

 

[fl_dutch]

Bin zwar kein Hacker und auch nur "Amateur", aber dennoch ein Antwortversuch.

Denke das "Routing" was du meinst, ist nicht das gleiche was wir meinen - hast du ja auch schon festgestellt. Was du meinst ist, dass ein Angreifer von außen einen vServer nutzt um von dort aus Angriffe gegen andere Server zu fahren. Dies kann bspw. so aussehen, dass der vServer so "programmiert" wird, dass er bspw. mehrfach gleichzeitig einen anzugreifenden Server pingt. Sprich es wird versucht möglichst viele Pings gegen ein Angriffsziel pro vServer abzusetzen. Das Limit für die mögliche Anzahl gleichzeitiger Pings ist dann entweder CPU-Last, Speicher oder Bandbreite des vServers.

Die Router bei Intergenia müssen dann ja diese Pings ins Internet weiterleiten (routen). Das kostet für jedes Ping-Paket natürlich Bandbreite und CPU-Last. Je mehr vServer nun ein Angriffsziel angreifen, desto mehr Ping-Pakete muss so ein Router parallel abarbeiten. Irgendwann ist entweder Bandbreite oder CPU-Last so hoch, dass die Latenz (Ping-Antwortzeit) steigt, weil der Router länger braucht um die Pakete weiterzuleiten (natürlich auch Ping Pakete von aussen). Wenn die erzeugte Menge an Ping-Pakete sehr groß wird, kann es sein, dass Bandbreite und CPU-Last des Router so groß werden, dass die Pakete nicht mehr weitergeleitet werden bzw. die Latenz so hoch wird, dass es einen Timeout gibt.

Normalerweise können Router aber mit solchen Angriffen umgehen und verwerfen die Pakete einfach. Allerdings kann man ja auch andere Pakete absenden als ein einfaches Ping. Es gibt Möglichkeiten Pakete so zu verändern, dass sie Schwachstellen in den Routern ausnutzen können, um ihn zur "Aufgabe" (Denial of Service) zu zwingen. Wie es scheint hat der aktuelle DDoS Angriff bei s4y eine solche Schwachstelle bei den Routern ausgenutzt.

In den News zum Powerpanel steht ja auch:

Da eine Erreichbarkeit unseres Netzwerks trotz eines solchen Angriffs sichergestellt sein muss, sind wir derzeit mit dem Hersteller unserer Router in Kontakt, um die Ursachen zu erforschen.

Ich hoffe die absoluten Experten hier verzeihen mir eventuelle Fehler, normalerweise habe ich mit DoS-Attacken eher weniger am Hut. Ich habe hier auch nur mit dem Ping ein einfaches Beispiel gesucht - es gibt viele andere Möglichkeiten so einen Router mit anderen Paketarten in die Knie zu zwingen.

Ich denke auch, dass es für einen Hardware Hersteller sehr schwierig ist, alle Eventualitäten im "Firmware" Programmcode zu berücksichtigen, bei all den Features die da eingebaut werden. Ergo wird es gerade im Zeitalter der Botnetze immer wieder Opfer geben, da irgendein Feature irgendeines Routers eine ausnutzbare Schwachstelle beinhalten wird, die noch nicht entdeckt wurde.

 

[b-gp440]

Warum nicht vorher?

Aus dem Powerpanel

Sehr geehrter Kunde,

im Laufe des heutigen Nachmittags kam es zwischen 16:50 Uhr und 17:05 Uhr zu kurzzeitigen Netzwerkstörungen aufgrund einer massiven DOS-Attacke, welche über mehrere Carrier das Netzwerk der vServer angriff. Durch eine schnelle Reaktion konnten die Beeinträchtigungen auf wenige Minuten begrenzt werden und es werden für die Zukunft umfangreiche Gegenmaßnahmen ausgearbeitet.

Mit freundlichen Grüßen
Ihr Server4You Support-Team

wenige Minuten ist schon frech ....

Was sitzten denn da für Clowns? Umfangreiche Gegenmaßnahmen ausarbeiten? Bei einer DOS Attacke? Die gibts auch erst seit heute, ein vollkommen überraschendes Ereignis für S4U.
"HUPS, da war mal eine Attacke, wir hatten noch nie eine- aber wir sollten da mal was gegen tun".

Herzlichen Glückwunsch Freunde, für die ausgeschlafenen Techniker in dem Laden.Da kommt einem fahrenden Auto gleich, das trotz Kurve erstmal gerade aus fährt, trotz Warnschilder. Naja, Die Kasko zahlt ja...

 

[Outbreaker]

Bei denn Dedicated Servers würde ich das noch galber (auser bei s4y) das es ein Outgoing DoS war. Aber bei vServer wo das Betriebssystem seitens vom Hoster immer automatisch geUpdatet wird und wo die neueste version von Plesk oder Confixx drauf ist die noch keine Public Exploits haben. Und dan sollten paar tausend vServers geHack worden sein. Naja wers glaubt wird selig.

Was kommt als nextes das auf dem Server vom Osterhase zu viel Mails gesendet würden.

 

[fl_dutch]

@b-gp440: Die Bezeichnung "DoS"-Attacke ist genauso wie in der Medizin "Halsschmerzen". Sie beschreibt nur das Phänomen - eben einen Denial of Service. Analog zu den Halsschmerzen in der Medizin können die Ursachen vielfältig sein.
Wenn es wirklich ein "ausgehender" DDoS war, dann war die Lösung relativ simpel - hat mbroemme ja auch schon geschildert: Abschaltung der entsprechenden Server. Bis man die aber im Rahmen der Analyse findet dauert es ggf. ein wenig - ist ja einiges an Traffic der da durch nen Analyser/Sniffer geht, den man sich evtl. erstmal anschauen muss, bevor man da tätig wird.

 

[DIII-DereX]

Nun ich denke Ihr habt einfach das Wort Routing oder geroutet gelesen und hattet das Bild eines Netzwerkes im Kopf und konntet das mit dem was ich versucht hab zu beschreiben nicht in Zusammenhang bringen.

Einer Server (Hardware) kann nicht geroutet werden. Deshalb war ich mir eigentlich sicher das jeder wusste was ich damit meinte "Er wurde geroutet"
und erst recht mit dem Hinweis aufs Hacken

Ich denke mit dem Thema sind wird durch und alle Klarheiten wurden beseitigt.

Vielen Dank für die ausführliche Beschreibung einer DOS Attake. Doch das meinte ich mit meiner Frage nicht!

Es ist nicht sonderlich schwer jemanden zu flooden. Man darf sich halt nur nicht dabei erwischen lassen. Es gehört nicht viel dazu viele NULL Pakete per netcat an eine IP zu schicken (flooding) oder dieses Paket mit einem Hexaeditor so zu editieren eine damit sie gezielt Schwachstellen ausnutzten.
Mit etwas gedult kann man auch leicht einen Server rooten und dort per Table Regel/ Paketfilter von einer bestimmten IP an eine bestimmten IP Angriffe weiterleiten.

Die Frage bezieht sich auf unser Rootserver Problem das wir seit nunmehr 7 Wochen haben. Da kommt es nämlich alle 20 bis 30 Minuten vor das Router (Hops) für mehrere Sekunden nicht erreichbar sind, ergo werden auch keine Pakete weiter geleitet! Ergebniss für diesen Zeitraum hat dieser Hop 100% Loss. Was mich ausserdem wundert ist das diese problem Hops nach dieser Zeit das Ping Paket nicht verworfen haben, was überlicher weise der Fall wäre .
Ich bin ratlos und die Intergenia Mitarbeiter scheinen mir auch ratlos da sie von dem Problem nun schon seit 6 Wochen wissen aber nichts dagegen unternehmen können. Daher versuchte ich hier schlaue Köpfe zu finden die möglicherweise einen Tip haben woran soetwas liegen könnte. das würd ich gerne als Supportticket ergänzen um dem NOC von Intergenia zu helfen.
Da ihr euch so über meinen missverstandenen Begriff aufgeregt habt dachte ich das ihr mir da weiter helfen könnt. Da es den Eindruck machte das ihr Experten seit.