Angriff auf den Server - Permanenter sofortiger Bann für alle

[AnonymusChaotic]

Hallo,

vor kurzem habe ich mich von einem Architekten getrennt, der bis vor einiger Zeit mein vollstes Vertrauen (und aus alten Zeiten noch alle Rechte) hatte. Daraufhin hat der Typ einen Wutanfall bekommen und mir berichtet, mit einem anderen Teammitglied von vor, das wir vor langer Zeit ebenfalls wegen schweren Griefings gebannt haben, schon alle Maps mit worlddownloader geklaut.
Das war mir eigentlich soweit egal, der Server ist für mich im letzten Halbjahr ja eher zum privaten Spiel- und Bauplatz verkommen.
Soweit die Vorgeschichte.

Dann habe ich mich eine Woche mit Fieber ins Bett gelegt, heute wollte ich mal wieder nach dem rechten sehen...

In der Konsole sieht das Ganze so aus:

Spoiler

Usernamen vorsichtshalber mal anonymisiert...

[20:33:17] [User Authenticator #103/INFO]: UUID of player flokohl123 is e035baa9-24c9-3633-a519-f3ce3eb2e1e0
[20:33:17] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@4dd5ddb2[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:60695): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:17] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@4dd5ddb2[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:60695) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:20] [Server thread/INFO]: Superkeks33 lost connection: Disconnected
[20:33:27] [User Authenticator #104/INFO]: UUID of player Superkeks33 is f3169ab9-a0f7-35e5-8981-0d2e502e9675
[20:33:27] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@2ae4197e[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:41706): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:27] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@2ae4197e[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:41706) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:35] [User Authenticator #105/INFO]: UUID of player flokohl123 is e035baa9-24c9-3633-a519-f3ce3eb2e1e0
[20:33:35] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@6661f58b[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:46840): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:35] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@6661f58b[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:46840) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:48] [User Authenticator #106/INFO]: UUID of player Superkeks33 is f3169ab9-a0f7-35e5-8981-0d2e502e9675
[20:33:48] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@5640b4d3[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:60918): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:48] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@5640b4d3[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:60918) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:53] [User Authenticator #107/INFO]: UUID of player flokohl123 is e035baa9-24c9-3633-a519-f3ce3eb2e1e0
[20:33:53] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@4b38a723[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:50604): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:53] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@4b38a723[id=e035baa9-24c9-3633-a519-f3ce3eb2e1e0,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:50604) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:56] [User Authenticator #108/INFO]: UUID of player Superkeks33 is f3169ab9-a0f7-35e5-8981-0d2e502e9675
[20:33:56] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@6fd171c6[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:55340): ?4Banned:
?rThe Ban Hammer has spoken!
[20:33:56] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@6fd171c6[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:55340) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:34:00] [User Authenticator #109/INFO]: UUID of player Superkeks33 is f3169ab9-a0f7-35e5-8981-0d2e502e9675
[20:34:00] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@251c22f7[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:43727): ?4Banned:
?rThe Ban Hammer has spoken!
[20:34:00] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@251c22f7[id=f3169ab9-a0f7-35e5-8981-0d2e502e9675,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:43727) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!
[20:50:55] [Thread-84/INFO]: [SurvivalGames] A newer version of survivalgames is available. ( SurvivalGames - Version Beta 1.9.4) You can download it here: http://dev.bukkit.org/bukkit-plugins/ultimatesurvivalgames/ You're using SurvivalGames - Version Beta 1.9.2
[21:19:22] [User Authenticator #110/INFO]: UUID of player Dave_HD is 0be39392-424e-39df-851e-0306fe3ad0bd
[21:19:22] [Server thread/INFO]: Disconnecting net.minecraft.util.com.mojang.authlib.GameProfile@742f4402[id=0be39392-424e-39df-851e-0306fe3ad0bd,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:43838): ?4Banned:
?rThe Ban Hammer has spoken!
[21:19:22] [Server thread/INFO]: net.minecraft.util.com.mojang.authlib.GameProfile@742f4402[id=0be39392-424e-39df-851e-0306fe3ad0bd,name=xxxxxxxx,properties={},legacy=false] (/212.224.88.15:43838) lost connection: ?4Banned:
?rThe Ban Hammer has spoken!

Hat jemand eine Idee, wie man es ohne Konsolen/FTP-Zugriff schaffen kann, alle den Server betretenden Leute sofort zu bannen?

 

[Angel]

Schadcode? Hast du evtl. eine Liste der Plugins?
Hat jemand anders mit vollem Zugriff einen solchen Schadcode eingeschleust?

 

[Majoox]

Das heißt du hast keine Rechte mehr auf deine Konsole? Kannst du dich auch nicht mehr einloggen? Normalerweise ist das doch immer geschützt mit einer Email Adresse, die man erst mal bestätigen muss. An deiner Stelle würde ich den Hoster anschreiben und schauen, was er machen kann.Im Extremfall ein älteres Backup zusenden und den Server komplett zurücksetzen lassen.

 

[AnonymusChaotic]

Alle meine Plugins im Pluginordner:

Die sind alle von dev.bukkit.org oder spigotmc.org, daher unbedenklich


Ausschließlich ich habe Zugriff auf Konsole und FTP. Daher das mit einschleusen eher nicht.
Dummerweise tritt bei mir ein Fehler auf, der nach jeder Chatmeldung dutzende Zeilen Warnungen hinterlässt und ich daher über 13.000 Zeilen Log habe
Hier ein Beispiel: http://pastebin.com/npEPEXp6


Was mir beim durchforsten der Logs gerade aufgefallen ist, ist dass User anscheinend mehr Rechte haben, als sie haben dürften:
http://pastebin.com/HH8Z8nk1 (Fehlermeldung kann überscrollt werden)
die ops.json ist allerdings in Ordnung, die permission.yml m.M.n. auch: http://pastebin.com/kPAYhX7q (vollständig, die User, die Rechte haben dürfen das auch)

@Majoox so war das nicht gemeint, ich habe noch Zugriff auf Konsole/SSH und sFTP, aber es werden eben alle Leute am Server sofort gebannt.

 

[Mario52]

Könnte das vielleicht an einem Command Block liegen? Wenn eingeschaltet kannst du die Einstellung in der server.properties wieder auf false stellen.

 

[SilberRegen]

Server vorübergehend whitelisten und dann ausmisten, würde ich mal vorschlagen.

Wenn du dir nicht sicher bist, wo der Fehler genau liegt und du es nicht herausfinden kannst, geh etwa folgendermaßen vor:
- alle Passwörter erneuern und schöne lange, sichere als Neue wählen
- alle Plugins neu herunterladen, alte Versionen in einen Backupordner
- frische Configs nehmen und anpassen
- Insbesondere die Permissions überprüfen, besser neu schreiben
- Commandblocks filtern, deaktivieren (Filtern geht mit MCEdit)
- Banliste entfernen/ausmisten (neu Bannen geht immer)

Wenn du auf Nummer sicher gehen möchtest für die Zukunft, versuche auf die *-Permission, sowie die Vergabe von Op komplett zu verzichten. Befehle wie "/pex user add <permission>" und "/op" sind besser Konsolenexklusiv (/op kann man glaube ich über WG sperren). Auch den eigenen Account konsequent nur mit nötigen Perms ausstatten und Permvergabe über die Konsole regeln.

 

[marcodie]

- essentials.*
Ne gaaaanz schleche Permission für normale Spieler, du gibst dennen damit alle Essentials rechte, also /ban, /mute, /kick also alles was ein normaler Spieler nicht können sollte

'- -cloudchat.cannot.write.*'
Weiss nicht ob die sogar nen Fehler im Permission system auslöst, da solltest du die Anführungszeichen mal weg lassen, die werden nur bei der '*' permission genutzt

 

[AnonymusChaotic]

@SilberRegen
Passwörter wofür? Ich gehe mal davon aus, dass das nur den Minecraftserver betrifft, nicht SSH und den kompletten Server übernommen hat...

Wenn es an einem Commandblock liegen sollte, müsste es dann nicht Einträge von der Clock bzw. dem permanent ausgeführten Command im Log geben?
Ich versuche es mal mit dem deaktivieren der Commandblocks...


@marcodie Danke für den Hinweis, wie die in die defaut-gruppe kam weiß ich nicht, wird jedenfalls entfernt. die andere Permission ist hinfällig und hat bis jetzt noch keine Meldungen in der Konsole ausgelöst. Die Permission musste so für ein Plugin vergeben werden, das mittlerweile nicht mehr am Server läuft.

 

[AnonymusChaotic]

Ich habe erstmal alle Plugins deaktiviert und dadurch einen Grund gefunden, an dem es soviel ich weiß gelegen hat - ein IP-Bann der Server-IP. Da jeder User über Bungeecord den Server betritt - ist die Sache glaube ich klar.

 

[SilberRegen]

@AnonymusChaotic Das mit den Passwörtern war der Vollständigkeit halber und den Fall, dass du das Problem nicht hättest ausmachen können und somit eventuell unberechtigte Zugriffe noch mit auf der Verdachtsliste hättest.

 

[Chrisliebär❤️]

Beim nächsten mal wenn man sich längere Zeit nicht um seine Server kümmern kann: abschalten, dann kann auch keiner irgendwelchen Mist machen, während man nicht erreichbar ist. Das gilt für Krankheit, Urlaub, Prüfungen, etc. oder man findet natürlich eine vertrauenswürdige Person, die nach dem Rechten sieht.

 

[Alphy]

Beim nächsten mal wenn man sich längere Zeit nicht um seine Server kümmern kann: abschalten, dann kann auch keiner irgendwelchen Mist machen, während man nicht erreichbar ist. Das gilt für Krankheit, Urlaub, Prüfungen, etc. oder man findet natürlich eine vertrauenswürdige Person, die nach dem Rechten sieht.

Ja aber hat ihm ja zu 100% vertraut

 

[AnonymusChaotic]

Beim nächsten mal wenn man sich längere Zeit nicht um seine Server kümmern kann: abschalten, dann kann auch keiner irgendwelchen Mist machen, während man nicht erreichbar ist. Das gilt für Krankheit, Urlaub, Prüfungen, etc. oder man findet natürlich eine vertrauenswürdige Person, die nach dem Rechten sieht.

Wen man nicht im Bett mit fast 40 grad Fieber aufwacht. Mobil hab ich die Zugangsdaten nicht parat und um mich zum pc zu bewegen hat mir jede Kraft gefehlt

Naja, danke an alle für die Hilfe

 

[toemsel1]

@AnonymusChaotic Hat sich das problem erledigt??
Wenn nicht dann guck ma bei den gebannten ips nach. es könnt sein das jemand die ip vom Proxy (Bungeecord) gebannt hat. dann sin nämlich (ev. 127.0.0.1) automatisch alle gebannt die über den Proxy joinen.

EDIT: Habs grad gesehen das sich das problem gelöst hat