Über mein Server wird angegriffen

M

musti19

Member
Hallo,
ich habe soeben von Hetzner die Mitteilung erhalten,:

"Abuse-Message : AttackOutLevel: OUT Attack notification for IP
...wir haben Hinweise, dass von Ihrem Server aus ein Angriff durchgeführt wurde."

mit der Anhang:
Direction OUT
Internal meine IP-Adresse
Threshold Packets 30.000 packets/s
Sum 10.286.000 packets/300s (34.286 packets/s), 9.697 flows/300s (32 flows/s), 0,339 GByte/300s (9 MBit/s)
External 88.151.96.202, 5.774.000 packets/300s (19.246 packets/s), 5.437 flows/300s (18 flows/s), 0,209 GByte/300s (5 MBit/s)
External 94.125.182.255, 4.501.000 packets/300s (15.003 packets/s), 4.251 flows/300s (14 flows/s), 0,122 GByte/300s (3 MBit/s)
External 88.153.26.239, 3.000 packets/300s (10 packets/s), 1 flows/300s (0 flows/s), 0,004 GByte/300s (0 MBit/s)
External 67.195.114.60, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,001 GByte/300s (0 MBit/s)
External 195.189.236.61, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)
External 82.198.197.51, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)
External 173.212.250.66, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,001 GByte/300s (0 MBit/s)
External 94.123.212.70, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)
External 118.228.148.52, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)
External 82.98.104.108, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,001 GByte/300s (0 MBit/s)
External 83.136.235.86, 1.000 packets/300s (3 packets/s), 1 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)

Wie kann ich vorgehen,um den Angriff festzustellen,
und zu verhindern.

Für schnelle Hilfe wäre ich sehr dankbar.
 
Als erstes: Server runterfahren und im Rettungssystem booten um weiteren Schaden zu verhindern.
Dann sämtliche Logdateien sichern und analysieren.
Danach Dateien und Verzeichnissen mit verdächtigen Namen suchen.

Je nachdem wie weit der Eindringling vordringen konnte ist eine Neuinstallation Pflicht. Unabhängig davon muss das Einfallstor gefunden und beseitigt werden, sonst dauert der Frieden nicht lange...
 
Ich danke vielmals für hilfreiche Tipps.
Ich habe anhand der Prozessliste feststellen können,
dass ein Script mit 97% den einen CPU-Kern belastete,
dies hatte ich am Anfang jedoch komischerweise nicht gesehen.
Ich vermute,dass dieses Script ein Sicherheitslücke aufweiste,
und dadurch Exploit genutzt wurde.
 
Kann man irgendwie Exploits allgemein ausschließen?
So das über mein Server an andere Server kein Zugriff bekommt.

allow_url_include ?
 
@musti19: Die beste Lösung wäre vermutlich, wenn du dir jemanden suchst der deinen Server administriert. Sonst werden deine mangelnden Kenntnisse dein kleinstes Problem sein.
 
Sicherst du Daten auf einen externen Server?

Ich kann diese Email auch provozieren, indem ich ein Fulldump auf einen externen Backup-Server mache. Dann schaufelt der Server mit beinahe voller Bandbreite 350 GB Daten auf einen anderen Server.

Ich will damit den Hinweis von Hetzner nicht verharmlosen, aber du solltest auch unbedingt prüfen, ob zu dem Zeitpunkt zu dem Hetzner diesen "Angriff" festgestellt hat nicht von dir eine Applikation bzw. ein Skript lief, das viel Traffic verursacht.

Viel Erfolg bei der Suche.

EDIT: Ich habe übersehen, dass es zwei IP-Adressen sind die es betrifft (beide gehören zu ungarischen Servern). Vielleicht hilft dir das bei der Suche.
 
Last edited by a moderator:
Danke nochmals für die Tipps.
Backups werden natürlich auf externe Server angelegt.
Jedoch keine Fullbackups.

Ich kenne von Windows,dass man mittels Wireshark,die IP's filtern
kann.

Dies ist bestimmt auch in Linux/debian möglich,
aber mit welchen Mitteln?
 
Wie schon zuvor von anderen gesagt,
es ist besser, Du lässt nun einen erfahren Profi an die Sache ran.

Wenn erstmal eine Verwundbarkeit erkannt / gefunden wurde, sind solche lokalen "Firewalls" keine Hindernis mehr.

In einer DMZ liese sich dass sicherlich durch eine explizite Firewall zuverlässig regelen. Aber nicht lokal auf dem Host.

Und whireshark kenne ich eher als Traffik Analyse Tool statt als Firewall.
Aber vielleicht gibt es ja unter Windows etwas das so ähnlich heisst und was ganz anderes tut.

Nochmals abschliesend, Du brauchst nun einen profi der die Lüke findet und diese abdichtet. Sowie jemanden, der zukünftig Dein System zuverlässig administriert um im Zweifelsfall sowas schon im Vorfeld zu verhindern oder wenigstens schnell und effizient zu beheben.
 
You must log in or register to reply here.
Back
Top