Dejavu-Design.eu

Archiv für die Kategorie „Hacks & -Tools“

Es gibt doch immer wieder Personen, die auf Ihrem heimischen Computer einen FTP-Server, wie etwa FileZilla installiert haben. Doch auch einige Administratoren von richtigen Webservern werden in Ihrer Log-Datei Einträge gefunden haben wie diese:

(000002) 14.06.2006 13:22:47 - (not logged in) (218.27.100.204)> USER Administrator
(000002) 14.06.2006 13:22:47 - (not logged in) (218.27.100.204)> 331 Password required for administrator
(000002) 14.06.2006 13:22:47 - (not logged in) (218.27.100.204)> PASS internet
(000002) 14.06.2006 13:22:47 - (not logged in) (218.27.100.204)> 530 Login or password incorrect!


Hier versucht offenbar jemand in den FTP-Benutzer-Account “Administrator” einzubrechen. Auch wir haben diesen Fall schon gehabt und uns gewundert, was der “Einbrecher” tun möchte. Nachdem wir den Account “Administrator” extra dafür angelegt haben und diesem den Zugang ohne gültiges Passwort gewährt haben, nahm er diese Chance auch wahr und gleich darauf war folgendes in der Log zu lesen:

(000071) 14.06.2006 14:31:22 - (not logged in) (218.27.100.204)> RMD sarcaxxo


Direkt im Anschluss loggte er sich aus und kam auch nicht wieder.. Nun Fragten wir uns, was es damit auf sich hat. Warum sollte sich jemand Stundenlang damit bemühen, in einen nicht existenten Benutzer-Account einzubrechen (BruteForce-Methode -> Kann sogar Jahre dauern) um anschließend ein nicht existentes Verzeichnis namens “Sarcaxxo” zu löschen und dann für immer zu verschwinden? Wir haben den Account über Wochen hinweg offen gehalten und geschaut, ob wieder derartige Zugriffe erfolgen, aber es war nicht der Fall.

Nun nach reichlicher Überlegung und etwas Recherche im Netz sind wir auf Lösung gekommen. Es gibt sogenannte FTP-Scanner, dass sind kleine Programme, die versuchen in einen FTP-Server einzubrechen, bzw. welche nach einem gültigen Benutzer-Account suchen. Es gibt im Netz einige FTP-Scanner, welche man sich leicht Herunterladen und Installieren kann. Wenn man mit solch einem Scanner einen Treffer gelandet hat, also eine gültige Benutzer-/Passwort-Kombination gefunden hat, heißt das noch lange nicht, dass man nun Daten auf den FTP-Server hochladen kann, oder Dateien vom Server herunterladen, bzw. löschen kann. Um dies zu überprüfen, eignet sich das Löschen eines nicht existenten Verzeichnisses. Je nach Rückmeldung des Servers, weiß das Scanner-Programm nun, ob der gefundene FTP-Account auch außreichende Rechte für Dateioperationen hat.

Der Name “Sarcaxxo” wurde also vom Programmierer des FTP-Scanner-Programmes gewählt und ist eigentlich völlig belanglos. Wahrscheinlich ist es eine Art Ableitung des Wortes “Sarkasmus”. Den Angreifer, der also nach neuen FTP-Servern für seine Machenschaften sucht, kann man nicht wirklich ausfindig machen, denn er nutz aller Regel nach sogenannte Proxy-Server, überwiegend im Asiatischen Raum.

Ein Proxy-Server verschleiert also die IP-Adresse des eigentlichen Benutzers und macht es damit bedeutend schwerer, den Angreifer ausfindig zu machen. Eine gute Idee ist es, einen “Administrator”-Account (ohne Passwort) einzurichten, der auf ein Leeres Verzeichnis mündet, möglichst nur Lese- und List-Rechte hat und dessen Geschwindigkeit auf 1KB/s gedrosselt ist. Sollte es also wieder zu solch einer Attacke kommen, würde diese direkt mit dem ersten Versuch erfolgreich verlaufen. Dabei stellt das Angreifer-Programm fest, dass der “Administrator”-Account keine Schreibrechte besitzt und damit wird der gesamte Angriff beendet. Zusätzlich kann man die IP-Adresse zu den gebannten Adressen hinzufügen, auch jede weitere Adresse, welche ggf. benutzt wurde, bzw. bei erneuten Angriffen benutzt wird.

Übrigens: solche Attacken werden schon seit Jahren gemacht, die ältesten Foren-Einträge, welche wir finden konnten, reichen bis in das Jahr 2005 zurück.

Die neueste Version von EasyMetin2 ist raus. Die neue Versionsnummer (für Deutschland) lautet 0.1.7.1561.

Fehler in der neuesten Version!
Kurz nach dem letzten Server-Crash wurde schnell bemerkt, dass EasyMetin2 ohne dessen eigenen Server nicht mehr funktioniert. Es wird vermutet, dass der Server nur benötigt wird, weil EasyMetin2 in Zukunft kostenpflichtig werden soll. Bei der neuesten Version (0.1.7.1561) ist es jedoch weniger der Server, der Probleme macht. Vielmehr stimmt auf den ersten Blick etwas mit dem Sprachpaket nicht. Deutsche Sprache wird nur bruchstückhaft angezeigt, andere Stellen bleiben Englisch oder beinhalten gar noch die Variablen-Namen der Programmierer.

DIE LÖSUNG: Wir haben das Problem gesucht, gefunden und gepatcht. Hier könnt Ihr die neue und nun voll funkionsfähige Version herunterladen: EasyMetin2_de_0.1.7.1561_Patched Die offizielle Homepage findet Ihr unter: EasyMetin2.com

Was ist EasyMetin2 überhaupt?
EasyMetin2 ist ein Bot-Tool für das Online-Rollen-Spiel Metin2. Dabei übernimmt EasyMetin2 die komplette Kontrolle über die Spielfigur und führt alle gängigen Spielmöglichkeiten, wie etwa Monster töten, Items aufheben, Items verkaufen, Lebenstränke kaufen und sogar das trinken der Lebenstränke vollautomatisch aus. Somit kann der Spieler Nachts ins Bett gehen und wenn er am nächsten Morgen aufsteht ist seine Spielfigur stärker und vielleicht sogar ein oder mehrere Level gestiegen.