Verbindung vdradmin mit "Robert Hecht Software" zu tun?

    Habe letzte Nacht, nachdem mein Firewall logging endlich wieder funktioniert, den VDR beim vermeintlichen "nach hause telefonieren" erwischt. Wie sonst ist das zu erklären das eine Verbindung zur 62.154.195.166 aufgebaut wurde? Port 7001 <-> 24166, wobei 7001 der Zielport bei mir war oder zumindest es so aussah.


    Ripe spuckt diese Info aus:
    inetnum: 62.154.195.160 - 62.154.195.167
    netname: RHS-HECHT-MAILSERVER-NET
    descr: Robert Hecht Software
    country: DE
    admin-c: RH947-RIPE
    tech-c: FP1923-RIPE
    status: ASSIGNED PA
    mnt-by: DTAG-NIC
    source: RIPE # Filtered


    person: Robert Hecht
    address: Robert Hecht Software
    address: Schleifweg 7a
    address: D-86405 Meitingen
    address: Germany
    phone: +49 8271 7524
    fax-no: +49 8271 6162
    e-mail: hecht@rhsoftware.de
    nic-hdl: RH947-RIPE
    mnt-by: DTAG-NIC
    source: RIPE # Filtered


    Hat diese Firma was mit dem VDR zu tun?
    Optisch hat das rhsoftware.de vielleicht mit einem VDR zu tun, laüft aber mit Vista...

    Keller: EasyVDR 0.5RC2, AE22V11, Cel. 600, 1x DVB-C TerraTec Cinergy 1200, Technisat SkyStar 2.6D (noch nicht angeschlossen)


    WZ: EasyVDR 0.5RC2, Digitainer II, Taulatin 1400, DVB-C TerraTec Cinergy 1200, DVB-S TT Budget S-1401


    S100 und VIA EPIA ME6000 liegen rum


    Umstieg auf DVB-S "in progress" da nach Umzug DVB-C zwar im Anschlussraum vorhanden ist, aber derzeit kein Vertrag mit einem Kabelanbieter gewünscht.


    bogi32b mybrute
    Pennergame

    VDRAdmin. Ist ein EasyVDR.

    Keller: EasyVDR 0.5RC2, AE22V11, Cel. 600, 1x DVB-C TerraTec Cinergy 1200, Technisat SkyStar 2.6D (noch nicht angeschlossen)


    WZ: EasyVDR 0.5RC2, Digitainer II, Taulatin 1400, DVB-C TerraTec Cinergy 1200, DVB-S TT Budget S-1401


    S100 und VIA EPIA ME6000 liegen rum


    Umstieg auf DVB-S "in progress" da nach Umzug DVB-C zwar im Anschlussraum vorhanden ist, aber derzeit kein Vertrag mit einem Kabelanbieter gewünscht.


    bogi32b mybrute
    Pennergame

    Habe erst einen router, der macht pauschal Portforwarding auf meinen IPCop, der wiederrum macht ein Portforwarding auf den Digitainer und erlaubt das nur von ganz bestimmten IP Adressen aus. In die Gegenrichtung ist aber erstmal alles offen. Surfen ist zwar über nen Proxy, der ist aber transparent. Muss ich schon einen VDR in die DMZ stellen?

    Keller: EasyVDR 0.5RC2, AE22V11, Cel. 600, 1x DVB-C TerraTec Cinergy 1200, Technisat SkyStar 2.6D (noch nicht angeschlossen)


    WZ: EasyVDR 0.5RC2, Digitainer II, Taulatin 1400, DVB-C TerraTec Cinergy 1200, DVB-S TT Budget S-1401


    S100 und VIA EPIA ME6000 liegen rum


    Umstieg auf DVB-S "in progress" da nach Umzug DVB-C zwar im Anschlussraum vorhanden ist, aber derzeit kein Vertrag mit einem Kabelanbieter gewünscht.


    bogi32b mybrute
    Pennergame

    Komische Konfig, aber letztendlich hat derjenige, der versucht hat, sich an Port 7001 zu verbinden, eine IP, die zu dieser Firma gehört. Es ist nicht so, dass dein VDR sich ungefragt verbindet.


    Hast Du den genauen Logeintrag zur Hand und auch die iptables-Regel, die dazugehört?

    eth1 ist rot=draussen
    eth0 ist grün=drin

    Keller: EasyVDR 0.5RC2, AE22V11, Cel. 600, 1x DVB-C TerraTec Cinergy 1200, Technisat SkyStar 2.6D (noch nicht angeschlossen)


    WZ: EasyVDR 0.5RC2, Digitainer II, Taulatin 1400, DVB-C TerraTec Cinergy 1200, DVB-S TT Budget S-1401


    S100 und VIA EPIA ME6000 liegen rum


    Umstieg auf DVB-S "in progress" da nach Umzug DVB-C zwar im Anschlussraum vorhanden ist, aber derzeit kein Vertrag mit einem Kabelanbieter gewünscht.


    bogi32b mybrute
    Pennergame

    2 Mal editiert, zuletzt von bogi32b ()

    :moin


    sieht so aus, als ob du ipcop auf dem Router verwendest.


    Würde das ganze aber nicht als Einbruchsversuch überbewerten. Es hat lediglich einen Versuch gegeben, auf diesen Port zu connecten. Zum Glück wirst du ja ein Passwor für vdradmin vergeben haben, sodass niemand an deinen Timern rumfummeln kann.

    Zitat

    Original von bogi32b
    Habe letzte Nacht, nachdem mein Firewall logging endlich wieder funktioniert, den VDR beim vermeintlichen "nach hause telefonieren" erwischt.


    Wenn der VDR "nach Hause telefoniert" hätte, wäre die Verbindung wohl von innen nach außen, in Deinem Log ist es aber genau andersherum.
    Ich vermute eher zufällige Scanaktivität, das ist zwar unschön, passiert aber ständig und beweist mal wieder wie wichtig es ist, seine Systeme ordentlich abzusichern. Automatischen Scripten die nach offenen Proxies, Standardlogins via SSH/Telnet etc suchen ist es erstmal egal "wer" man ist und ob es dort etwas interessantes gibt, es geht nur darum "offene" Systeme zu finden (und dann möglicherweise für weitere Aktivitäten zu mißbrauchen)...


    Und warum gerade auf Port 7001? Warum nicht, jedenfalls versuchen es einige:
    http://www.dshield.org/port.html?port=7001



    Gruß,
    Razor

    Das kann doch auch vollkommen harmlos sein. Wenn der "Angreifer", vor der
    Zwangstrennung durch seinen Internet-Provider, die IP-Adresse hatte, die du
    nach deiner Zwangstrennung bekommen hast, dann dauert es ja oft noch einen Augenblick bis Dienste wie dyndns.org die neue Adresse veröffentlicht haben. Der "Angreifer" wollte also eventuell nur auf seinen eigenen Rechner zugreifen, hat aber stattdessen deinen erwischt. Du kannst ja mal prüfen, wann bei dir die Zwangstrennung war, oder hast du eine feste IP?


    Gerald


    HP Proliant MicroServer Gen8, Xeon E3-1230, 12 GB RAM, 3xWD red 2TB im RAID 5, 2xSundtek MediaTV Home DVB-C/T, L4M TWIN-C/T, Ubuntu Server 14.04.1, Plex Media Server
    Samsung UE55H6470

    Zitat

    Original von heinzelrumpel
    :moin


    sieht so aus, als ob du ipcop auf dem Router verwendest.


    Würde das ganze aber nicht als Einbruchsversuch überbewerten. Es hat lediglich einen Versuch gegeben, auf diesen Port zu connecten. Zum Glück wirst du ja ein Passwor für vdradmin vergeben haben, sodass niemand an deinen Timern rumfummeln kann.


    Es ist passwortgesichert und es können nur 2 IP´s drauf zugreifen:
    Chain PORTFWACCESS (1 references)
    target prot opt source destination
    ACCEPT tcp -- 194.1.1.100 digitainer.localdomain tcp dpt:afs3-callback
    ACCEPT tcp -- 217.1.1.13 digitainer.localdomain tcp dpt:afs3-callback
    ACCEPT tcp -- 194.1.1.100 debian.localdomain tcp dpt:afs3-callback
    ACCEPT tcp -- 217.1.1.13 debian.localdomain tcp dpt:afs3-callback


    an dem LOG auszug kann ich aber keinen DROP erkennen, deshalb machte es mich stutzig. OUTPUT aus dem Grünen interface ist für mich eher das das Paket rausgegangen ist. Andererseits kann es aber heissen das es dort hätte rausgehen sollen, aber geloggt wurde weil es eben NICHT rausgegangen ist sondern abgefangen wurde. Die andere Möglichkeit ist das es ein Antwortpaket war.
    Mit der Zwangstrennung hat das aber nichts zu tun, denn die ist zu einer ganz anderen Zeit gewesen.

    Keller: EasyVDR 0.5RC2, AE22V11, Cel. 600, 1x DVB-C TerraTec Cinergy 1200, Technisat SkyStar 2.6D (noch nicht angeschlossen)


    WZ: EasyVDR 0.5RC2, Digitainer II, Taulatin 1400, DVB-C TerraTec Cinergy 1200, DVB-S TT Budget S-1401


    S100 und VIA EPIA ME6000 liegen rum


    Umstieg auf DVB-S "in progress" da nach Umzug DVB-C zwar im Anschlussraum vorhanden ist, aber derzeit kein Vertrag mit einem Kabelanbieter gewünscht.


    bogi32b mybrute
    Pennergame

    Ich bin bei Firewalls zwar echt kein Experte, aber einiges erscheint mir da echt merkwürdig:

    Code
    ACCEPT     all  --  anywhere             anywhere            state NEW
DROP       all  --  127.0.0.0/8          anywhere            state NEW
DROP       all  --  anywhere             127.0.0.0/8         state NEW
ACCEPT     all  --  anywhere             anywhere            state NEW

    Sind die beiden "DROP"s nicht sinnlos?


    Code
    ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
[...]
ACCEPT     all  --  anywhere             anywhere            state NEW
[...]
LOG        all  --  anywhere             anywhere            limit: avg 10/min burst 5 LOG level warning prefix `OUTPUT '

    Ausserdem wundert mich was für Pakete es denn überhaupt bis zum LOG schaffen.

    Gruss
    SHF


Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden