Computer ausspionieren....

[teutoradler]

Aloha!

Mal direkt vorab, ich habe keine bösen Absichten. Mir hat heute nur ein Bekannter gesagt, dass mein Rechner wohl ziemlich viel im Internet her gibt. Er hat mit einem Programm "X-Scan" meinen Rechner gescannt und dabei erstaunlich viel heraus gefunden. Im Logfile stand drin, welche Festplatten freigeben sind, er konnte genau sehen, wie viele Computer hinter meinem Router online sind und noch ein paar andere Dinge. Er meinte, dass es ein leichtes wäre, auf meinen Rechner zu kommen. Ist es das wirklich? Ich bin eigentlich immer davon ausgegangen, dass es schon etwas arbeits intensiver ist, als mal eben auf einen anderen Rechner zu kommen?! Zumal ich eine im Router integrierte Firewall habe, ist sicherlich nicht das non-plus-ultra, aber ein wenig sollte dir ja auch blocken.

So Leute, sagt man, geht es echt soooo easy? ;-)

Ach ja, ich habe Win2k und als Browser den Feuerfuchs. Internetanbindung ist ein stinknormaler DSL Anschluss.

Besten Dankl schon mal,
Thorsten

 

[FunkyRay]

Das sind alles Daten die man mit einem ganz normalen Sniffer herausfinden kann.
Das heist noch nicht das du angreifbar bist, dazu gehört dann schon etwas mehr.

Einfach schön aufpassen das du keine Datein ausführst, die dir jemand unterjubelt.

Was soll denn dein Router für ne Firewall funktion haben?
Hat er das Tool im internen Netz benutzt oder von außerhalb?

 

[teutoradler]

Die Firewall Funktion ist in der Router Firmware integriert, wenn mich nicht alles täuscht, dann ist das eine Zonealarm. Ist ein SMC Router.
Der Kerl versucht jetzt via Brute Force mein Passwort zu bekommen. Naja. Ich kann mir nicht vorstellen, dass man das Passwort so einfach bekommt.
Ist es denn möglich, wenn er das Passwort hat, auf meinen Rechner zu kommen? Ich habe echt keine Ahnung....

 

[crumble]

wenn du ihm nur die internet-ip des routers gegeben hast, und er selbst einen "scanner" aus dem internet gestartet hat, sollte es bei NAT-Routern und standardmäßig deaktivierten Portforwarding nicht möglich sein, herauszufinden, welche rechner hinter dem router sind und was sie freigeben. man kann herausfinden, dass mehrere rechner hinter dem router online sind, wenn min. 2 zur gleichen zeit was senden so dass man 1) die header-bytes analysieren kann und b) ausschliessen kann, dass eine person (fast) zeitgleich 2 adressen aufruft. Wobei man sowas auch explizit 'faken' kann. wenn dein rechner nur so im netz hängt ohne, dass du surfst, sollte von den internen freigegebenen ports nach aussen hin keine sichtbar sein. Es sei denn, windows sendet lokale freigaben explizit nach aussen...
Du schreibst, dein router hat eine firewall. hast du die jemals eingestellt oder glaubst du, da stand firewall auf der verpackung und die wird mich schon standardmäßig schützen? das wäre leider ein trugschluss.

 

[teutoradler]

Ich habe die Firewall nur einmal aktiviert. Mehr nicht. Hab mir da auch nie Gedanken drüber gemacht, da ich eigentlich der Meinung bin, dass man so ohne weiteres nicht auf meinen Rechner kommt. Die integrierte Firewall blockt halt irgendwelche IPs, kann ich mir im Status Fenster meines Routers anzeigen lassen.
Ich habe ein paar Ports freigegeben. Irgendwelche bei 5000. Ansonsten habe ich nichts gemacht. NAT hab ich auch schon mal gelesen. Aber warum kann der Typ jetzt alles mögliche meiner Rechner sehen? Benutzernamen etc. wurde im Logfiile angezeigt. Passwörter allerdings nicht.

 

[crumble]

Ist es denn möglich, wenn er das Passwort hat, auf meinen Rechner zu kommen? Ich habe echt keine Ahnung....

Ob er auf deinenr rechner kommt, hängt immernoch davon ab, wo dein rechner "betretbar" ist. Läuft ein SSH-Daemon, könnte er mit dem passwort eventuell da rein. Fakt ist, dass immer da wo jemand "rein" kann (also auf einem bestimmten port) auch ein entsprechender Dienst laufen muss, der diese Anfrage entgegennimmt.
btw: ein bruteforce-angriff auf passwörter mit mehr als 5 stellen erzeugt a) unheimlich viel traffic und b) dauert (gerade über das internet) ewig lange (das kann man in jahren angeben)
spätestens nach der 24h-zwangstrennung wär ruhe im karton...
(sofern du keinen dyndns-dienst benutzt)

 

[FunkyRay]

Zudem auch die billigste Firewall nen BruteForce erkennen sollte und dann die Pakete verwirft.

 

[crumble]

Ich habe die Firewall nur einmal aktiviert. Mehr nicht. Hab mir da auch nie Gedanken drüber gemacht, da ich eigentlich der Meinung bin, dass man so ohne weiteres nicht auf meinen Rechner kommt. Die integrierte Firewall blockt halt irgendwelche IPs, kann ich mir im Status Fenster meines Routers anzeigen lassen.
Ich habe ein paar Ports freigegeben. Irgendwelche bei 5000. Ansonsten habe ich nichts gemacht. NAT hab ich auch schon mal gelesen. Aber warum kann der Typ jetzt alles mögliche meiner Rechner sehen? Benutzernamen etc. wurde im Logfiile angezeigt. Passwörter allerdings nicht.

Dann muss er über port 5000 reingekommen sein. andernfalls sollten alle anfragen aus dem netz an deine ip (wohlbemerkt, deine IP des routers, nicht die eines rechners; diese ist nach aussen nicht sichtbar) im router weggeworfen werden.
Andere Möglichkeit: du hast ein trojaner (der irgendwelche Daten auf deinem rechner sammelt und entsprechend nach aussen sendet!!)

 

[FunkyRay]

NAT hat nichts, aber AUCH GAR NICHTS mit einer Firewall zu tun, warum wird das so gern als Firewall verkauft???

NAT ist die Network Adress Translation und erlaubt es mehreren Rechnern hinter dem Router, nach außenhin mit eine und der gleichen IP aufzutreten.

Wieso ist der 5000er oder so offen?

Port 80 aufmachen und fertig.

Oder betreibst du einen Server der von außen erreichbar sein soll?
Vielleicht noch 1-2Ports für emule oder so.

Mach vor allem die ICMP Ports zu (Port 8) dann weiß er überhauptnicht das du existierst, weil der Router dann Ping anfragen einfach ignoriert.

 

[crumble]

Port 80 aufmachen und fertig.

Oder betreibst du einen Server der von außen erreichbar sein soll?
Vielleicht noch 1-2Ports für emule oder so.

Mach vor allem die ICMP Ports zu (Port 8) dann weiß er überhauptnicht das du existierst, weil der Router dann Ping anfragen einfach ignoriert.

warum port 80 aufmachen??
Hat er denn einen Webserver, der von aussen erreichtbar sein soll?

ICMP hat/benutzt keine Ports! Eine 8 steht nur meist im IP Feld und bedeutet dort "echo message". Eine 0 bedeutet die Antwort.

Ob der Router auf Pings reagieren soll oder nicht, kann man meist im Routermenü direkt einstellen!

 

[teutoradler]

Achso. Naja, warten wir es mal ab. Sind denn nur die Ports frei, die ich über den Router freigebe?

 

[teutoradler]

Laut Active Ports hab ich ~ 10Ports, die benutzt werden. Wie kann ich denn in meinem Router alles schliessen? Ich glaube, dass ich da nur Ports sharen kann.

 

[crumble]

Achso. Naja, warten wir es mal ab. Sind denn nur die Ports frei, die ich über den Router freigebe?

Standardmäßig sollten alle Ports nach aussen hin geschlossen sein!
Man bnötigt ev. für FileSharingDienste Portforwarding - also das Abbilden/Weiterleiten von Ports an einen Rechner im Netzwerk. Wenn man zB einen Webserver betreibt (läuft meist auf Port 80), muss der Port des Routers, der eine Anfrage auf Port 80 empfängt, diese an die eingestellte Netzwerk-IP weiterreichen (forwarden), meist auf dem gleich Port (muss aber nicht)
Typischerweise sieht eine Portforwarding-liste so aus:

NAT Port Redirection Running Table

Index  Protocol  Public Port   Private IP        Private Port
 1            6         6544       192.168.1.99              6544
 2            6           80       192.168.1.99                80

Hier wird also zB eine Anfrage, die der Router auf port 6544 bzw 80 (TCP) empfängt an den Rechner mit der IP 192..99 auf den gleichen port weitergereicht.
Man sollte wirklich nur die Ports öffnen, von denen man genau weiß, wozu und was dahinter ist (also im LAN).
Wie das bei deinem Router eingestellt wird, steht im Handbuch...

 

[damdam79]

N'Abend Leutz

Da NAT aber nur über einen Paketfilter geht, und das ist nunmal eine "Firewall", kann man
NAT als eine Unterfunktion einer Firewall verstehen. Dabei werden auch nur von innen
initiierte Verbindungen erlaubt und bestimmte Ports für Antworten von außen kurzfristig
geöffnet und nach Beendigung der Verbindung auch wieder geschlossen.

Von außen kommende Verbindungen musst Du erst in das Netzwerk umleiten, damit ein Angriff
starten kann. Ohne Forwarding ist der Router von außen nicht erreichbar. Es sei denn Du hast die
Adminfunktionen nach außen erlaubt. Das sollte ausgeschaltet werden, sonst könnten andere
tatsächlich ne Brute Force Attacke starten.
Ich hatte das schon mal, dass nen Router frei am Netz ging. Keine Ahnung wo das war. Mit
Standardpasswort rein (war ja nicht besonders gesichert, also legal), erste EMail anvisiert und
nen netten Brief verfasst. Und Ping reply solltest Du ausschalten. Das dürfte auch einige
abwimmeln, die erstmal schauen, ob ein Rechner / Router antwortet.
Wenn Du also die smb-ports von außen weiterleitest, dann is das Harakiri und wundert mich gar
nicht, dass er so viel rausfindet.

Und für ssh-Freaks:
Wenn einer schon so etwas wie ssh benutzt, dann mach nach aussen hin um Gottes Willen kein
keyboard-interactive-Authentification an (also Benutzer/Passwort-Abfraghe) sondern benutze ne
key Authentification. Bei dieser muss man im besitz eines private-keys sein und auch noch die
optionale Passphrase wissen. Hab das bei mir mit nem USB Stick gelöst. Ohne diesen private Key
kommt man gar nicht rein, es sei denn es gibt andere Schlupflöcher. ;D

Tschaui
Damdam

 

[teutoradler]

Sorry, ich bin zu dumm, um eure Post´s zu verstehen.
Wie kann ich denn nun die Ports schliessen? Angenommen ich möchte Port 80 (WWW) schliessen - wie mache ich das?
Und wie stelle ich das Ping Echo ab?

Um die ganze Sache zu vereinfachen, kenn jmd. eine gute Website, die sich mit dem Thema beschäftigt?

Danke...!

 

[Osti]

N'Abend Leutz

Da NAT aber nur über einen Paketfilter geht, und das ist nunmal eine "Firewall", kann man
NAT als eine Unterfunktion einer Firewall verstehen. Dabei werden auch nur von innen
initiierte Verbindungen erlaubt und bestimmte Ports für Antworten von außen kurzfristig
geöffnet und nach Beendigung der Verbindung auch wieder geschlossen.

Quark, NAT hat nix mit nem Paketfilter zu tun. Die NAT-Funktion ist zwar afaik unter Linux im iptables-Kernel-Modul integriert, aber grundsätzlich hat NAT nix mit Paketfilter oder Firewall am Hut. Das geht auch mit nem stinknormalen Router, der Src- oder Dst-IP's substituieren kann. Egal ob von "innen oder aussen". Gerade ältere Router haben die NAT-Session-Table häufig als FW-Feature zweckentfremdet, in dem sie nur Antwort-Pakete zugelassen haben, für die ein Eintrag in der NAT-Tabel vorhanden ist. Nen "richtiger" dynamischer Paket-Filter führt neben einer möglichen NAT-Table noch eine Session-Table der zulässigen Verbindungen.

Ontopic: Wenn Du kein statisches NAT bzw. Port-Forwarding von extern auf deine internen Systeme eingerichtet hast, dann kann auch niemand auf die internen System zugreifen, es sei denn er versuchts direkt vom Router aus. Nen administrativer Login auf den Router sollte jedoch von extern tunlichst deaktiviert sein. Wenn Du wie gesagt nur Port 5000 von extern forwardest, dann kann von extern auch nur darauf zugegriffen werden. DIe Frage ist dann, was bzw. welcher Dienst sich hinter diesem Port-Forwarding auf deinem internen System befindet.

Osti

 

[Osti]

Sorry, ich bin zu dumm, um eure Post´s zu verstehen.
Wie kann ich denn nun die Ports schliessen? Angenommen ich möchte Port 80 (WWW) schliessen - wie mache ich das?
Und wie stelle ich das Ping Echo ab?

Um die ganze Sache zu vereinfachen, kenn jmd. eine gute Website, die sich mit dem Thema beschäftigt?

Danke...!

www.securityfocus.net z.B.