Re: Hacker auf System! was kann ich machen

On Sun, 05 Aug 2001, Oliver Fromme wrote:
> So kraß muß es ja nicht gleich sein. Aber ein Client kann
> durchaus feststellen, wenn er einen Server vor sich hat,
> der spezielle Features bietet, und diese dann nutzen. Ist
> es ein ihm unbekannter Client, verwendet er halt das (mög-
> licherweise weniger effiziente) 08/15-Protokoll.

Das liegt natuerlich dann in der Hand des jeweiligen Obscurity-Admins ein
gutes Mittelmaß zwischen Sicherheit und Produktivität zu finden. :-)

>
> Bekanntes Beispiel ist etwa die "ESMTP"-Grußzeile bei MTAs.

> Und wenn ein FTP-Client (etwa ein Mirror-Programm) anhand
> der Servermeldung sieht, daß er einen Wuftpd vor sich hat,
> weiß er, daß er einige Kommandos verwenden kann, die RFC959
> nicht vorsieht, z.B. MDTM. Ähnliches bei Newsservern.

Sowas würde ich für schlechten Programmierstil halten. Ein Mirrorprogramm
könnte nach erfolgreichem Login doch einfach versuchen einen MDTM-Befehl
abzusetzen und dann den Errorcode auswerten.

Egal - die Hauptproblematik ist ja, dass ein Programm sich aufgrund einer
"Begrüßungsmessage" eines Servers konfiguriert. Ein einfaches Kommando dass
z.B. nach dem Login in einen FTP-Server (News, Mail etc.) ausgeführt wird,
und den Server fragt welche "Dienstleistungen" er anbietet, würde ich für
eine sauberere Implementierung halten.

Aber ich glaube für solche Sachen ist das Internet schon zu alt ;-))

MDTM ist im übrigens im nächsten FTP-RFC dabei...

> Davon abgesehen hilft eine korrekte Identifikationszeile
> beim Debuggen von Problemen. Wenn ich ein Problem mit
> einem MTA irgendwo draußen in der Prärie habe, dann gucke
> ich schonmal per telnet nach, was das überhaupt für ein
> Server ist (bzw. was es für ein Server zu sein vorgibt).

Das stimmt allerdings.

> Das verschleiern zu wollen halte ich für ziemlich nutzlos.
> Die üblichen Skript-Kiddies scannen einfach die Ports (wenn
> überhaupt) und lassen dann ihre Standard-Exploits auf alles
> los, was nicht bei drei auf den Bäumen ist (kein TCP RST
> geschickt hat).

Der neueste Schrei ist ja "Banner-Scanning".
Portscanning quer durch ganze Subnetze um die "Welcome"-Message (und damit
Programmname + Version ) der jeweiligen Dämonen zu erfahren. Sowas nervt :)
- und deshalb setze ich gerne irgendwelche "bogus"-Informationen.

Nächtliche Grüße,

Jörg

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Mon 06 Aug 2001 - 00:30:06 CEST