Ist Azureus eine Gefahr?

Django · Beitrag von **Django** » 10.04.2007 23:29:09

Ist eigentlich ein Azureus mit geöffnetem Port eine Gefahr?
Also was ich sagen will: Kann man das Ganze zum Reinhacken nutzen, was ja bei Webservern sehr einfach gelingt!?

Was sollte man tun? Man kann ja schlicht für jede Software die einen Port benötigt, einen eigenen Server hinstellen, jedenfalls nicht für normal sterbliche...

buli_75 · Beitrag von **buli_75** » 10.04.2007 23:44:08

Django hat geschrieben:Ist eigentlich ein Azureus mit geöffnetem Port eine Gefahr?
Also was ich sagen will: Kann man das Ganze zum Reinhacken nutzen, was ja bei Webservern sehr einfach gelingt!?

Wie willst du Azureus mit geschlossenem port fahren? Sobald ein Dienst läuft, ist der entsprechende port auch offen.
Grundsätzlich ist jede Software, die sich mit dem Internet verbindet eine Gefahr. Zusätzlicher code == zusätzliche Gefahr.

Was sollte man tun?

Finger weg vom filesharing.
Du kannst Azureus natürlich auch forwarden, oder tunneln. Oder nen proxy benutzen Inwieweit das aber sinnvoll ist, sei dahingestellt. Kommt drauf an, wieviel Zeit du hast.

Django · Beitrag von **Django** » 10.04.2007 23:58:21

buli_75 hat geschrieben:
Django hat geschrieben: Wie willst du Azureus mit geschlossenem port fahren? Sobald ein Dienst läuft, ist der entsprechende port auch offen.

Das geht ganz einfach, Stichwort NAT-Router, in meinem Fall IPCop.

Die Frage ist also was tun, mal abgesehn von Port offen....
Die JAVA-VM als anderer User laufen lassen? Ist das sicher, oder kann die Userverwaltung gleich mitgehackt werden? Relativ unwahrscheinlich oder..? Doch gleich chroot?

buli_75 · Beitrag von **buli_75** » 11.04.2007 00:14:36

Naja, so 1337 bin ich auch nicht.
Aber entweder in ner chroot, oder nen extra user anlegen, der ausschliesslich zugriff auf Azureus hat.
Was anderes wüsste ich auch nicht.

MartinL25 · Beitrag von **MartinL25** » 11.04.2007 00:23:12

Ob Du vor dem Azureus-Server nen Router mit Firewall stehen hast, ist ziemlich irrevelant im Zusammenhang mit der ursprünglichen Frage. Den einzigen Vorteil den Du da hast, ist der Schutz vor Angriffen auf anderen Ports wenn Böse Buben nen Portscan auf Deine IP-Adresse, die Azureus ja fröhlich hinausposaunt, starten. Aber wenn jemand Azureus selbst erfolgreich angreift, dann bringt die Firewall garnichts, weil sie alle Pakete für Azureus einfach weiterleitet.

Jede zusätzliche Software, die Daten aus dem Internet annimmt, ist natürlich eine Gefahrenquelle. Da hilft nur, den Server zu "härten". Azureus unter nem eigen User laufen lassen ist natürlich ein Selbstgänger, dann ein chroot-jail, dann Selinux und dann nen eigen virtuellen Server für jeden Dienst.

P.S. In welchen Webserver kann man sich denn sehr einfach reinhacken?

Django · Beitrag von **Django** » 11.04.2007 07:07:30

MartinL25 hat geschrieben: P.S. In welchen Webserver kann man sich denn sehr einfach reinhacken?

Naja so einfach gehts wohl bei keinem, aber ich lese "alle Tage wieder" das die und die Seite gehackt wurde...
Apache hatte ja auch des öfteren Buffer-Oferflow Lücken...

Gibts irgendwo ne Anleitung für chroot/selinux unter Debian?

PS: Eigener virt. Server für jeden Dienst wird schwer - Duron 950

buli_75 · Beitrag von **buli_75** » 11.04.2007 10:51:59

Django hat geschrieben: Gibts irgendwo ne Anleitung für chroot/selinux unter Debian?

http://www.wikiservice.at/dse/wiki.cgi?chroot

http://linuxwiki.de/chroot

pluvo · Beitrag von **pluvo** » 11.04.2007 19:50:01

Django hat geschrieben:
MartinL25 hat geschrieben: P.S. In welchen Webserver kann man sich denn sehr einfach reinhacken?
Naja so einfach gehts wohl bei keinem, aber ich lese "alle Tage wieder" das die und die Seite gehackt wurde...

Naja hauptsächlich sind das aber PHP-Lücken vom "Webdesginer"

Wie viel Arbeitsspeicher hat denn deine Kiste? (Wenn der genug Arbeitsspeicher hat kannst du ja mal mit VMware anfangen und dich zu anderen Sachen vorarbeiten [Xen-Server

])
Du kannst auch mit dem Gedanken spielen dein Azureus Client-PC in eine DMZ zu packen. Sollte dann wirklich etwas schief gehen, ist zu mindestens nicht dein ganzes LAN gefährdet

http://de.wikipedia.org/wiki/Demilitarized_Zone
http://en.wikipedia.org/wiki/Demilitari ... mputing%29

Django · Beitrag von **Django** » 11.04.2007 19:58:51

pluvo hat geschrieben:
Django hat geschrieben: Du kannst auch mit dem Gedanken spielen dein Azureus Client-PC in eine DMZ zu packen. Sollte dann wirklich etwas schief gehen, ist zu mindestens nicht dein ganzes LAN gefährdet

http://de.wikipedia.org/wiki/Demilitarized_Zone
http://en.wikipedia.org/wiki/Demilitari ... mputing%29

Mit dem Gedanken habe ich auch schon gespielt.
Aber dann muss ich ja für NFS oder Samba sowieso wieder DMZ-Schlupflöcher anlegen, was das ganze dann wieder absurdum führt oder? Denn ich will nicht jeden 300MB HDTV-Trailer den ich sauge wieder per FTP auf den Client PC holen...

pluvo · Beitrag von **pluvo** » 11.04.2007 20:24:39

Nein, du kannst die DMZ so konfigurieren, dass du uneingeschränkt vom LAN auf die DMZ zugreifen kannst. (Zu mindestens bei ipcop ist das standardmäßig so)

Django · Beitrag von **Django** » 11.04.2007 20:39:32

pluvo hat geschrieben:Nein, du kannst die DMZ so konfigurieren, dass du uneingeschränkt vom LAN auf die DMZ zugreifen kannst. (Zu mindestens bei ipcop ist das standardmäßig so)

Ist das bei NFS so, das die Ports nur in eine Richtung offen seien müssen?
Beim Windows SMB muss der Verkehr in BEIDE Richtungen funktionieren.

herrchen · Beitrag von **herrchen** » 11.04.2007 20:45:24

Django hat geschrieben: Ist das bei NFS so, das die Ports nur in eine Richtung offen seien müssen?
Beim Windows SMB muss der Verkehr in BEIDE Richtungen funktionieren.

natürlich müssen die pakete auch *immer* zurück ...
es soll nur so sein, dass eine verbindung nicht *aus* der DMZ initiiert werden kann.

herrchen

Django · Beitrag von **Django** » 11.04.2007 20:58:07

herrchen hat geschrieben:
Django hat geschrieben: Ist das bei NFS so, das die Ports nur in eine Richtung offen seien müssen?
Beim Windows SMB muss der Verkehr in BEIDE Richtungen funktionieren.
natürlich müssen die pakete auch *immer* zurück ...
es soll nur so sein, dass eine verbindung nicht *aus* der DMZ initiiert werden kann.

herrchen

Ist nur nichtso einfach für nur EINEN Server.
Müsste man eine zweite Netzwerkkarte einbauen, die dann für die DMZ dient oder?
Man kann ja zumindst VMWare eine eigene Netzwerkkarte zuweisen. Geht das bei XEN und co. auch?

Aufbau:
Fileserver=Host / Virtual1: Azureus / Virtual2 : Apache

Hab halt keine Lust/Geld noch nen PC aufzustellen. Ein Server muss reichen.

pluvo · Beitrag von **pluvo** » 11.04.2007 21:18:24

Was hast du für einen Router? Ist eine DMZ-Unterstützung vorhanden?

(Ich würde den Server entweder komplett in die DMZ stellen oder garnicht. Also keine 2 Netzwerkkarten oder so.)

Vielleicht ist das auch alles ein wenig Overkill

Django · Beitrag von **Django** » 11.04.2007 21:33:17

pluvo hat geschrieben:Was hast du für einen Router? Ist eine DMZ-Unterstützung vorhanden?

(Ich würde den Server entweder komplett in die DMZ stellen oder garnicht. Also keine 2 Netzwerkkarten oder so.)

Vielleicht ist das auch alles ein wenig Overkill

IPCop...

herrchen · Beitrag von **herrchen** » 11.04.2007 21:35:20

Django hat geschrieben: IPCop...

soweit ich weiss, kann IPCop eine "echte" DMZ bereitstellen.
allerdings wird dafür ein eigener NIC benötigt.

herrchen

pluvo · Beitrag von **pluvo** » 11.04.2007 21:44:21

Django hat geschrieben:
pluvo hat geschrieben:Was hast du für einen Router? Ist eine DMZ-Unterstützung vorhanden?

(Ich würde den Server entweder komplett in die DMZ stellen oder garnicht. Also keine 2 Netzwerkkarten oder so.)

Vielleicht ist das auch alles ein wenig Overkill
IPCop...

Ach, ich hatte es oben überlesen

Na ist doch klasse

Dann baust du dir eine zusätzliche Netzwerkkarte in dein IPCop ein (falls du noch keine für DMZ hast) und richtest dir eine DMZ ein. Anschliessend noch schnell das Netzwerkkabel von der Netzwerkkarte (die zu der DMZ zugeordnet ist) in den Server. (Crossover-Kabel

)

Django · Beitrag von **Django** » 11.04.2007 21:49:58

pluvo hat geschrieben:
Django hat geschrieben:
pluvo hat geschrieben:Was hast du für einen Router? Ist eine DMZ-Unterstützung vorhanden?

(Ich würde den Server entweder komplett in die DMZ stellen oder garnicht. Also keine 2 Netzwerkkarten oder so.)

Vielleicht ist das auch alles ein wenig Overkill
IPCop...
Ach, ich hatte es oben überlesen

Na ist doch klasse
Dann baust du dir eine zusätzliche Netzwerkkarte in dein IPCop ein (falls du noch keine für DMZ hast) und richtest dir eine DMZ ein. Anschliessend noch schnell das Netzwerkkabel von der Netzwerkkarte (die zu der DMZ zugeordnet ist) in den Server. (Crossover-Kabel )

Aber ist dann mein Fileserver wirklich geschützt? Dann wäre ja nur die Workstation sicher, denn dann lägen ja der Host/FIleserver sowie seine beiden virtuellen Maschinen innerhalb der DMZ und könnten sich dort frei bekriegen.
Oder denke ich falsch?

Django · Beitrag von **Django** » 12.04.2007 01:00:43

herrchen hat geschrieben:
Django hat geschrieben: Ist das bei NFS so, das die Ports nur in eine Richtung offen seien müssen?
Beim Windows SMB muss der Verkehr in BEIDE Richtungen funktionieren.
natürlich müssen die pakete auch *immer* zurück ...
es soll nur so sein, dass eine verbindung nicht *aus* der DMZ initiiert werden kann.

herrchen

Aber wenn beide Richtungen offen sind, kann eine Verbindung auch aus der DMZ initiiert werden
Habe das nämlich gradmal mit einem Testrechner probiert

Entweder geht garkein SMB, oder es geht von beiden Rechnern aus

debianforum.de

Ist Azureus eine Gefahr?

Ist Azureus eine Gefahr?

Re: Ist Azureus eine Gefahr?

Re: Ist Azureus eine Gefahr?