Durch Hacker Server down

[Darkblader24]

Hallo

eben gerade kam ein Typ namens *Name entfernt* auf meinen Server und hat geschrieben:

hi
Server geht down in
3
2
1

Und dann hat mir McMyAdmin 100% CPU-Auslastung angezeigt und der Server ist abgeschmiert -.-
Alter was hat der gemacht? Und wie kann ich das verhindern?
Das ist jetzt schon öfters in den letzten Tagen passiert,aber das ist das erste Mal,das es jemand angekündigt hat!

Ergänzung:
Hab seit 1 woche eigenen Rootserver und habe auch Fail2Ban und Dodeflate installiert

 

[DypoX]

Da mag dich wohl jemand nicht. Naja könntest deinem Anbieter das alles melden und abwarten.

 

[Darkblader24]

Hab ich auch sofort gemacht.
Ich habe die Ip von dem Typen, der das angekündigt hat. Und da habe ich mal bei einem Ip tracker geschaut und er scheint aus Deitschland aus Münster zu kommen. Sollte man da Anzeige erstellen?

 

[Cabraca]

Hab ich auch sofort gemacht.
Ich habe die Ip von dem Typen, der das angekündigt hat. Und da habe ich mal bei einem Ip tracker geschaut und er scheint aus Deitschland aus Münster zu kommen. Sollte man da Anzeige erstellen?

Anzeigen wegen was? weil er in nem game was geschrieben hat?
An deiner stelle würde ich erstmal checken woran es lag bevor ich wild Leute anzeige.
Eventuell hat er auch einfach eins deiner falsch konfigurierten Plugins ausgenutzt.

 

[Darkblader24]

Stimmt auch wieder.Aber ich wüsste nicht welches Plugin. Naja warte ich halt mal,was mein Anbieter dazu sagt

 

[Cabraca]

Dein Anbieter ist nicht für deinen Server verantwortlich. Es liegt an DIR den Fehler zu suchen.
Im schlimmsten Fall wurde deine Maschine kompromitiert und hängt jetzt in nem botnetz.
Von daher würde ich an deiner Stelle ganz schnell meinen ***** bewegen und die Sache klären.

 

[Crafter6432]

Server.log?

 

[Oregano]

Du kanst ihn aufjedenfall anzeigen,weil ein Server ist vituelles eigentum

 

[Cabraca]

Du kanst ihn aufjedenfall anzeigen,weil ein Server ist vituelles eigentum

Was hast du denn bitte geraucht? Das ist schwachsinn.

 

[Nacktschicht]

Du kanst ihn aufjedenfall anzeigen,weil ein Server ist vituelles eigentum

Der Schuss kann auch ganz schnell nach hinten losgehen - wenn sich nämlich herausstellt, dass du als Besitzer/Betreiber einen Fehler gemacht hast.

PS: Geistiges Eigentum

 

[gruener_kaktus]

Craftbook oder Falsebook kriegen deinen Server schon down wenn die Perm falsch sind
zu dem hast du deinen Root sicher genug eingestellt mit den Passwörtern?
hast du dich evtl mit dem gleinechen imGame PW auf anderen Serverangemeldet?

geht der Server [Root] down oder der MCServer[Mincraft.jar]?

 

[Darkblader24]

Craftbook oder Falsebook kriegen deinen Server schon down wenn die Perm falsch sind
zu dem hast du deinen Root sicher genug eingestellt mit den Passwörtern?
hast du dich evtl mit dem gleinechen imGame PW auf anderen Serverangemeldet?

geht der Server [Root] down oder der MCServer[Mincraft.jar]?

Ich hab weder Craftbook oder Falsebook. Ja der Root sollte Passwortsicher sein. Und nein, ich verwende überall ein anderes Passwort.
Der McServer ging down und ich musste ihn dann über McMyAdmin stoppen. Und erst dann konnte ich den gesamten Root neu starten, davor ging nichts.
Und im Serverlog ist nichts über den Gugo festzustellen. Das einzige was er er gemacht hat, war sein Countdown den er im Chat geschrieben hat. Und als er bei 1 war, war dann Feierabend. Es kam dann nur noch ein paar mal "Connection reset" und "Lost connection" im Log.

 

[Darkblader24]

Naja mir viel kein anderer Begriff ein und ich wollte jetzt auch nicht unbedingt beleidigend werden ^^

Und kann denn ein kleiner DDos Angriff einen Server auf Knopfdruck lahmlegen?

 

[Hecke29]

Hi,

bei ner SYN-Flood reichen ~20-50 Rechner um den Server innerhalb 30 Sekunden in die Knie zu zwingen würde ich pauschal behaupten, je nach Leistung (bei Server-Standard-Einstellungen). Muss nichtmal der MC-Server direkt gefloodet worden sein, effektiver ist meistens einen Apache zu flooden (läuft bei dir einer? - wenn möglich steig um)
Und du loggst dich hoffentlich nicht mit Passwort auf deinen Server ein, sondern per Public-Key... Standardports etc haste hoffentlich auch geändert oder an eine andere IP gebunden, sodass Port-Scans nichts finden?
/var/log/auth.log prüfen, aber das sind Linux-Geschichten^^ Solltest du dich ja mit auskennen. syslog ist sicherlich auch interessant.

Edit: Fail2Ban ist mEn generell überflüßig, konfigurier dir lieber deine Firewall richtig, dann brauchste dieses deflate zeug wohl auch nicht :/

MfG
Hecke

 

[Benni1000]

Hi,
bei ner SYN-Flood reichen ~20-50 Rechner um den Server innerhalb 30 Sekunden in die Knie zu zwingen würde ich pauschal behaupten, je nach Leistung (bei Server-Standard-Einstellungen).

Wer syn flooded einen Server bitte noch?
Ist doch total ineffektiv, den webserver zu überlasten ist viel einfacher.
Und syn cookies helfen auch.
50 rechner halte ich bei einem relativ starkem Server für zu wenig.

Und du loggst dich hoffentlich nicht mit Passwort auf deinen Server ein, sondern per Public-Key...

Also wenn du dich mit einem PUBLIC key authenthifiziert, würde ich mir an deiner
stelle Gedanken machen.

Standardports etc haste hoffentlich auch geändert oder an eine andere IP gebunden, sodass Port-Scans nichts finden?

Auf eine andere Ip zu binden, bringt wenig bis garnix.
Die automatischen scanner finden einen trotzdem.
Gegen einen gezielten Angriff könnte es ein wenig helfen.

Edit: Fail2Ban ist mEn generell überflüßig, konfigurier dir lieber deine Firewall richtig, dann brauchste dieses deflate zeug wohl auch nicht :/

Fail2Ban ist alles andere als überflüssig, wenn man mehr als nur ssh verteidigen möchte.

 

[Hecke29]

Wer syn flooded einen Server bitte noch?
Ist doch total ineffektiv, den webserver zu überlasten ist viel einfacher.
Und syn cookies helfen auch.

Ich schrieb:

[...](bei Server-Standard-Einstellungen)

Damit mein ich ohne Syn-Cookies und Waittime runter
Ich schrieb auch:

Muss nichtmal der MC-Server direkt gefloodet worden sein, effektiver ist meistens einen Apache zu flooden

Von mir aus auch nen anderer Webserver, da hab ich Wissens-Defizite

50 rechner halte ich bei einem relativ starkem Server für zu wenig.

Ja.

Also wenn du dich mit einem PUBLIC key authenthifiziert, würde ich mir an deiner
stelle Gedanken machen.

Ich denke du weißt genau, dass das Private-Public-Key Verfahren gemeint ist Oder verstehe ich da was falsch?

Auf eine andere Ip zu binden, bringt wenig bis garnix.
Die automatischen scanner finden einen trotzdem.
Gegen einen gezielten Angriff könnte es ein wenig helfen.

Das ist auch eher "Sicherheit", wenn ich den Standard-SSH Port z.B. ändere bringt mir das effektiv keine Sicherheit und trotzdem failen dann 80% der sog. "Hacker". Ob deine Aussage stimmt, weiß ich nicht, wäre nett wenn du mir das per PN nochmal erklärst :/

Fail2Ban ist alles andere als überflüssig, wenn man mehr als nur ssh verteidigen möchte.

Da muss ich dir zustimmen Ich hab allerdnings wenig bis keine Services laufen, die das benötigen würden.

Außerdem kenn ich den TE nicht und weiß nicht inwiefern er sich auskennt. Ich kenne genug Leute, die noch weniger Ahnung haben als ich, und Root-Server gemietet haben :/

Ich will mich auch nicht batteln, aber ganz so wenig hab ich nicht nachgedacht Hab dafür zu wenig Ahnung^^