dropbear ssh angriffe

koyaanisqatsi · 18 Feb 2013

Geistesblitz schrieb:
Ein vollkonfigurierbaren ©IPCop (mit Webinterface) für (fast) jede ©Fritz!Box als Firmwareupdate!

Wer compiliert uns das Ding?

Aber Spass beiseite, wer's braucht könnte eben einen ausgedienten möglichst energieeffizienten PC mit IPCop installieren und den zwischen Router und LAN verkabeln.
Nur, so wie ich das verstanden habe, läuft freetz auf dem Router.
Also muss für sowas ne freetz Lösung her, aber Dalli.

sf3978 · 18 Feb 2013

JohnDoe42 schrieb:
..., die Banner zumindest bei den "Standard-"Anwendungen (VSFTPD, Dropbear etc.) evtl per Patch abschaltbar zu machen, ...

Bei sshd (OpenSSH) kann die Benutzung des Banners konfiguriert werden. Der Banner ist aber anscheinend nicht das Problem. Hier ein Beispiel für den gepatchten sshd, mit Banner:

:~$ telnet -a <IP-Adresse> <Port>
Trying <IP-Adresse>...
Connected to <IP-Adresse>.
Escape character is '^]'.
SSH-2.0-OpenMousetrap 13.8

:~$ ssh -oPort=<Port> root@<IP-Adresse>
Go away, you bad hacker!
...

Wenn vsftpd mit inetd und Banner benutzt wird, kann mit telnet nichts "Brauchbares" angezeigt werden:

:~$ telnet -a <IP-Adresse> <Port>
Trying <IP-Adresse>...
Connected to <IP-Adresse>.
Escape character is '^]'.
421 Service not available.
Connection closed by foreign host.

vsftpd kann auch mit der libwrap (... für hosts.allow) kompiliert werden.

EDIT:

Code:

root@fritz:/var/mod/root# ldd $(which vsftpd) | grep libwrap
	libwrap.so.0 => /usr/lib/freetz/libwrap.so.0 (0x2aaf3000)

koyaanisqatsi · 19 Feb 2013

sf3978 schrieb:
Bei sshd (OpenSSH) kann die Benutzung des Banners konfiguriert werden. Der Banner ist aber anscheinend nicht das Problem.

Ja, hier ist (leider) das Banner gemeint welches ausgegeben wird wenn der Benutzer bekannt ist (nach Eingabe von Benutzernamen, vor Eingabe des Passwortes).
Ich denke da hilft wirklich nur ein Patch.

koy

tele66 · 19 Feb 2013

koyaanisqatsi schrieb:
Ja, hier ist (leider) das Banner gemeint welches ausgegeben wird wenn der Benutzer bekannt ist (nach Eingabe von Benutzernamen, vor Eingabe des Passwortes).
Ich denke da hilft wirklich nur ein Patch.

koy

Ist bei Dropbear genauso, wenn man die Option "-b bannerfile" verwendet. Nutzt aber auch hier nichts gegen den Rückgabewert von "telnet -a".

koyaanisqatsi · 19 Feb 2013

dropbear 'Banner'

Vielleicht geht dieser 'Hack':

boleeme schrieb:
if you dont want to recompile, you can replace this string to another with same length with find-and-replace tool sed

cp /usr/sbin/dropbear /tmp/dropbear-tmp
sed -i 's/SSH-2.0-dropbear_0.52/foo-bar-foo-bar-foo-b/g' /tmp/dropbear-tmp

now you can stop /usr/sbin/dropbear and use /tmp/dropbear-tmp with needed switches

EDIT: Ich lösch diesen Beitrag auch gerne wieder wenn er euch zu 'schmutzig' ist

(Suchen und ersetzen in einer Binary? <Skeptik>)
Wer mags antesten?
koyaanisqatsi: ich ich ich

Also das Ergebnis ist (Heureka das ist ja easy):

/bin/ash schrieb:
telnet -a 127.0.0.1 222
foo-bar-foo-bar-foo-b

Der Trick ist wohl, dass der auszutauschende String exakt soviele Zeichen haben muss wie das Original:
SSH-2.0-dropbear_0.52 = 21 Zeichen
foo-bar-foo-bar-foo-b = 21 Zeichen
EDIT: Ein Versuch zu verbinden misslang allerdings (Binärdatei kaputt!!!)
Jetzt sind die Patcher gefragt!

mit verschmitzten Grüßen....

koy

hermann72pb · 20 Feb 2013

Auf den "großen" Linuxen mit "vernünftigen" Paketen war ich damals relativ schnell fündig. Allerdings hieß es dann OpenSSH anstatt von dropbear, proftpd anstatt vsftpd usw. Bei boxoptimierten schlanken Varianten der erwähnten Pakete muss ich allerdings passen. Da kann es sein, dass die Strings fest einkompilliert sind ud nicht so einfach wegzuoptimieren wären. Allerdings würde ich auch da über die Sourcen gehen und keine fertigen Binaries mit sed editieren.

MfG

koyaanisqatsi · 20 Feb 2013

Moin,
Da diese Banner hardcoded sind und sed zwar austauscht aber die Binärdatei kaputtmacht ist obengenannte Methode natürlich keine Lösung.
Aber, wenn man die Sourcen hat, würde diese Methode, auf den Sourcecode angewendet, funktionieren.

Grüße,

koy

MaxMuster · 21 Feb 2013

Geht auch. Hier mal zwei Versionen.
Eine gibt vor, OpenSSH auf Ubuntu zu sein (falls es auf Port 22 laufen sollte, macht es wohl wenig Sinn zu zeigen, dass man was zu verstecken hat, sondern eher, einen "Angreifer" zu täuschen ;-))
Die andere sollte sich als "fake" melden

koyaanisqatsi · 21 Feb 2013

:done:great thxalot

tele66 · 10 Mrz 2013

Hallo,
möchte nun noch berichten wie ich mich entschieden habe :
Verlegung des Standard-Ports ! Seither ist Ruhe mit den Angriffen.
Gruss

Languages

Suche

Languages

Suche

dropbear ssh angriffe

koyaanisqatsi

IPPF-Urgestein

sf3978

IPPF-Promi

koyaanisqatsi

IPPF-Urgestein

tele66

Neuer User

koyaanisqatsi

IPPF-Urgestein

hermann72pb

IPPF-Promi

koyaanisqatsi

IPPF-Urgestein

MaxMuster

IPPF-Promi

Anhänge

koyaanisqatsi

IPPF-Urgestein

tele66

Neuer User

Zurzeit aktive Besucher

Neueste Beiträge

Statistik des Forums