Forum schon wieder verseucht ?

[Mu Lei]

Nachtrag: Es gibt noch eine weitere Option, mit der man die Einschränkungen für z.B. IFrames auch auf vertrauenswürdige Webseiten anwenden kann.

Ist zwar hier OT, aber kannst Du trotzdem verraten, wo man die Einstellungen für vertrauenswürdige Seiten vornimmt.

Das lästige am Noscript ist halt nur, dass viele Seiten (z.B. Online-Banking) oft nicht funktionieren und man doch temporär Beschränkungen aufhebt

 

[Gast_99693]

In den NoScript-Einstellungen direkt auf dem Reiter "eingebettete Objekte". Aber wie gesagt: Ich bin mir im Moment nicht ganz sicher, worauf sich "Diese Einstellungen..." bezieht.

Zum Online-Banking: Warum stufst Du die Online-Banking-Seite nicht einfach dauerhaft auf vertrauenswürdig ein? Das ist doch genau der Zweck von NoScript.

 

[Gast_127600]

Gute Frage.
Ich habe mittlerweile diese Seite als "nicht vertrauenswürdig" eingestuft.

Anmerkung im Übrigen: Ich hatte auch einige Zeit das Forum als vertrauenswürdig eingestuft. Dennoch kam bei mir keine Virenmeldung.
Eine vollständige Systemprüfung lasse ich gerade ausführen.

 

[Gast_99693]

So, ich habe mir das mit Iframe jetzt mal im NoScript-FAQ angesehen. Ich versuch mal, die Stelle zu übersetzen: Folgendes passiert, wenn die Option "Iframe verbieten" aktiviert ist:

1. IFrames auf nicht vertrauenswürdigen Seiten werden geblockt, es sei denn, sie laden Inhalte von der gleiche Seite, von der sie stammen.
2. IFrames auf vertrauenswürdigen Seiten werden geblockt, falls sie Inhalte von einer nicht vertrauenswürdigen Seite laden.
3. Falls "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" aktiviert ist, werden IFrames immer geblockt, es sei denn, sie laden Inhalte von der gleiche Seite, von der sie stammen.
4. Daraus ergibt sich auch, dass egal was man bei "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" einstellt, IFrames immer zugelassen werden, falls sie Inhalte von der gleichen Seite laden, von der sie stammen.

Fazit: Für den Angriff, der über das DSLR-Forum ausgeführt wurde, reicht es aus, "Iframe verbieten" zu aktivieren, vorausgesetzt, die Seite, von der das eingeschmuggelte IFrame nachlädt, ist nicht als vertrauenswürdig eingestuft, was aber äußerst unwahrscheinlich ist. Dieses Restrisiko kann man abschalten, in dem man "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" aktiviert, dann muss man sich aber darüber im klaren sein, dass alle darüber eingestellten zusätzlichen Einschränkungen dann auch für vertrauenswürdige Seiten gelten. Damit verbaut man sich aber evtl. Funktionalität in diesen vertrauenswürdigen Seiten.

Übrigens ist damit auch klar, dass sich die Option "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" auf alle darüber liegenden Einschränkungen bezieht.

 

[Gast_127600]

Punkt 4 ist doch in unserem Fall unbeachtlich oder nicht? Die Inhalte stammen ja von einer externen Seite.

Jedenfalls hat mein vollständiger Systemscan kein Ergebnis zu Tage gefördert.

Edit: Ja, dein Fazit leuchtet ein. Glücklicher Weise scheint bei mir dennoch kein Schaden enstanden zu sein. Nichtmal der Virenscanner hat Alarm geschlagen.

 

[Gast_99693]

Punkt 4 ist doch in unserem Fall unbeachtlich oder nicht? Die Inhalte stammen ja von einer externen Seite.

Ja genau, sehe ich auch so.

Und für den Fall, dass jemand einwenden sollte, dass das Forum ja so manipuliert werden könnte, dass der "Payload" (also der Trojaner selbst) direkt vom Forum runtergeladen wird: Dann wäre ein IFrame-Schutz witzlos, weil dann gar kein IFrame mehr für den Angriff notwendig ist

Nachtrag: Für die ganz paranoiden lassen sich Iframes auch komplett blockieren über about:config => noscript.forbidIFramesContext = 0. Hier noch der Link zum FAQ: http://noscript.net/faq#qa4_8

 

[oberandy]

[ATTACH_ERROR="dslrToolsAttachRewrite"]1833014[/ATTACH_ERROR]

Ist das ein Portscan ausgehend vom DSLR-Forum, oder kann mir einer genau erklären was hier der Router-Log aussagt ?

 

[Backbone]

Ist das ein Portscan ausgehend vom DSLR-Forum, oder kann mir einer genau erklären was hier der Router-Log aussagt ?

Aus meiner Sicht lautet die Aussage: "buntes Bild".

Was genau soll man jetzt aus den wenigen Infos die du gibst (nicht mal was für ein Router das ist) schließen?

Backbone

 

[oberandy]

Aus meiner Sicht lautet die Aussage: "buntes Bild".

Was genau soll man jetzt aus den wenigen Infos die du gibst (nicht mal was für ein Router das ist) schließen?

Netgear V614v9

Ich habe wenig Ahnung davon, aber positiv hört sich sowas nicht an

 

[-drs-]

DOS Attacken sind keine Trojner auch verseucht man damit keinen Rechner war womöglich ein aus versehener Tastendruck beim Kaffeetrinken eines „möchte-gern-hackers“...

 

[oberandy]

DOS Attacken sind keine Trojner auch verseucht man damit keinen Rechner war womöglich ein aus versehener Tastendruck beim Kaffeetrinken eines „möchte-gern-hackers“...

Okay, aber warum steht dann die IP-Adresse des Forums und nicht die des vermeintlichen "Hackers" im Log?

 

[Gast_99693]

Das kann auch ein Schluckauf bei der Kommunikation der beiden TCP-Implementierungen von Forum-Server und dem Router gewesen sein. Aus irgendeinem Grund meint das Forum, ein FIN zu einem bestimmten Port zu schicken, zu dem der Router aber aus irgendeinem anderen Grund keine TCP-Connection mehr kennt (vielleicht hat er sich gerade rebooted?) und schwupps interpretiert er es als FIN-Scan.

Genausogut kann es aber auch sein, dass ein Hacker die IP-Adresse des Forums für seinen Angriff missbraucht hat, d.h. seine eigene IP-Adresse gefälscht hat. Ja, liebe Kinder, auch solche schrecklichen Sachen sind im Internet möglich . Alleine schon deswegen würden die ganzen Filesharing-Abmahnungen vor Gericht platzen, falls es mal jemand mit viel Geld darauf anlegt, einen kleinen Gutachter-Krieg vor Gericht auszufechten.

 

[oberandy]

okay danke für die ausführliche Antwort.

Also kann ich wieder beruhigt hier schauen

 

[kiwete]

Genausogut kann es aber auch sein, dass ein Hacker die IP-Adresse des Forums für seinen Angriff missbraucht hat, d.h. seine eigene IP-Adresse gefälscht hat.

Gegenfrage: Was bringt ein Portscan mit gefälschter Absenderadresse?

 

[Gast_99693]

Gegenfrage: Was bringt ein Portscan mit gefälschter Absenderadresse?

...dass man z.B. nicht zurückverfolgt werden kann. Bzw. damit man es absichtlich jemand anderem in die Schuhe schieben kann. usw.

 

[Ike_klar]

...dass man z.B. nicht zurückverfolgt werden kann. Bzw. damit man es absichtlich jemand anderem in die Schuhe schieben kann. usw.

und wie soll er die Antwort bekommen mit gefälschter Adresse (Wenn er nicht gerade im Singalweg sitzt)

Einfach ignorieren. Das ist das normale rauschen im Internet.. und im Regelfall sind so "Einträge" einfach Fehler in der Software des Routers der Pakete nicht richtig zuordnen kann.

 

[Gast_99693]

Hmmm... ich dachte bisher, dass man die eigene IP verschleiern/fälschen kann, so dass die TCP-Kommunikation aber weiterhin funktioniert. Naja, kann mich auch irren, und es ist ja eigentlich auch leicht OT

 

[kiwete]

Hmmm... ich dachte bisher, dass man die eigene IP verschleiern/fälschen kann, so dass die TCP-Kommunikation aber weiterhin funktioniert.

Nur wenn man die TCP Sequenznummern korrekt vorhersagen kann. Was meines Wissens aber nicht (mehr) möglich ist, weil die Betriebssysteme die mitlerweile korrekt erzeugen (siehe auch http://de.wikipedia.org/wiki/IP-Spoofing). Aber selbst wenn, dann bringt es nur etwas wenn man ganz genau weiß was man machen möchte und die Antwortdaten nicht braucht. Gerade die will man aber bei einem Portscan haben.

Einfach ignorieren. Das ist das normale rauschen im Internet..

Kann gut sein. Wenn beim Verbindungsabbau Pakete im Internet verloren gehen die vorher den Router passiert haben, worauf dann der Server ein, zwei Retransmissions macht, dann könnte das aussehen wie ein kleiner FIN Scan. Mein Firewall spitzt jetzt auf jeden Fall die Ohren, mal sehen ob sich was findet.

 

[Gast_99693]

Danke für den Wikipedia-Link, hätte ich auch selbst drauf kommen können
Sehr interessant.

 

[canis]

Nun hatte ich auch grad das Vergnügen. War den ganzen Abend in Foren unterwegs ( überwiegend vB -man wird ja sensibel und aufmerksamer ) aber hier passierts ... Toll!!!

Neben dem neuen Aktionspartner, der EBB-Softwareschmiede, würde derzeit wunderbar das *I-Net-Rundumsorglos-Security-Pack >>>dslr-forum-edition* in der Auslage am oberen Bildschirmrand passen. Aber so gehts halt weiter wie bisher: "Mein Hund hat auf den Weg gek..kt?! Soll der Nächste halt aufpassen, wo er hin tritt"