Post by JaapPost by Paul van der VlisPost by Paul van der VlisPost by JaapDesondanks gaan de hackpogingen door. Heeft iemand een goede tip voor mij?
Blijkbaar doet je firewall het niet, anders zou dit niet kunnen.
Kijk eens naar het resultaat met "iptables -n -L".
Daar lijkt alles goed dicht te staan.
Alleen voor een bepaald interface, of voor alles ? Je zou wat met ons
kunnen delen.
Ik heb hier de output van iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-apache-401 tcp -- 0.0.0.0/0 0.0.0.0/0 multiport
dports 80,443
f2b-dovecot tcp -- 0.0.0.0/0 0.0.0.0/0 multiport
dports 0:65535
f2b-postfix tcp -- 0.0.0.0/0 0.0.0.0/0 multiport
dports 25,465,587
email tcp -- 0.0.0.0/0 0.0.0.0/0
jaap tcp -- 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy DROP)
target prot opt source destination
DOCKER-USER all -- 0.0.0.0/0 0.0.0.0/0
DOCKER-ISOLATION-STAGE-1 all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate
RELATED,ESTABLISHED
DOCKER all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain jaap (1 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 172.16.0.0/12 0.0.0.0/0
ACCEPT tcp -- 45.138.230.253 0.0.0.0/0 tcp
ACCEPT tcp -- 80.101.98.161 0.0.0.0/0 tcp
ACCEPT tcp -- 86.83.140.101 0.0.0.0/0 tcp
ACCEPT tcp -- 84.84.235.56 0.0.0.0/0 tcp
ACCEPT tcp -- 86.87.176.224 0.0.0.0/0 tcp
multiport dports 22,2003
DROP all -- 60.160.0.0/11 0.0.0.0/0
DROP all -- 60.208.0.0/13 0.0.0.0/0
<enz, enz, vooral China, Brazilie etc>
DROP all -- 212.192.216.0/22 0.0.0.0/0
DROP all -- 39.128.0.0/10 0.0.0.0/0
DROP all -- 58.192.0.0/10 0.0.0.0/0
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp
multiport dports 25,80,443,587
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:2003
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate
RELATED,ESTABLISHED
DROP all -- 0.0.0.0/0 0.0.0.0/0
Chain DOCKER (1 references)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:8126
ACCEPT udp -- 0.0.0.0/0 172.17.0.2 udp dpt:8125
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:2024
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:2023
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:2004
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:2003
ACCEPT tcp -- 0.0.0.0/0 172.17.0.2 tcp dpt:80
Chain DOCKER-ISOLATION-STAGE-1 (1 references)
target prot opt source destination
DOCKER-ISOLATION-STAGE-2 all -- 0.0.0.0/0 0.0.0.0/0
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Chain DOCKER-USER (1 references)
target prot opt source destination
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Chain emailx (0 references)
target prot opt source destination
Chain email (1 references)
target prot opt source destination
ACCEPT tcp -- 31.161.128.0/18 0.0.0.0/0 tcp
multiport dports 993,995
ACCEPT tcp -- 77.63.0.0/16 0.0.0.0/0 tcp
multiport dports 993,995
ACCEPT tcp -- 83.232.0.0/18 0.0.0.0/0 tcp
multiport dports 993,995
ACCEPT tcp -- 188.207.0.0/17 0.0.0.0/0 tcp
multiport dports 993,995
ACCEPT tcp -- 45.83.6.0/23 0.0.0.0/0 tcp
multiport dports 993,995
ACCEPT tcp -- 45.138.228.0/22 0.0.0.0/0 tcp
multiport dports 993,995
Chain f2b-postfix (1 references)
target prot opt source destination
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Chain DOCKER-ISOLATION-STAGE-2 (1 references)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Chain f2b-dovecot (1 references)
target prot opt source destination
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Chain f2b-apache-401 (1 references)
target prot opt source destination
RETURN all -- 0.0.0.0/0 0.0.0.0/0
Post by JaapPost by Paul van der VlisMisschien is zoiets ook zinvol om te testen: https://portscan.io/
Ik ken deze site verder niet, zelf gebruik ik nmap vanaf een remote machine.
Mooie site, werkt goed. Geeft aan dat poort 110, 143, 993 en 995
netjes dicht staan. Kennelijk staat er toch ergens iets anders open...
Aanvallen vanaf localhost. Dus dat ze al op je computer zitten op een
andere manier.
Ik heb niets gemerkt, maar ja, dat zegt niet alles. Ik zou dan eerder
verwachten dat ik helemaal geen ip adressen zie.
Aanvallen via een ander IP, dus dat je computer meerdere IP's heeft.
Er is maar 1 IP adres op eno1:
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast
state UP group default qlen 1000
link/ether 4c:72:b9:66:ad:1d brd ff:ff:ff:ff:ff:ff
inet 178.32.217.177/24 brd 178.32.217.255 scope global dynamic eno1
valid_lft 64574sec preferred_lft 64574sec
inet6 fe80::4e72:b9ff:fe66:ad1d/64 scope link
valid_lft forever preferred_lft forever
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue
state UP group default
link/ether 02:42:fb:9a:b4:b2 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::42:fbff:fe9a:b4b2/64 scope link
valid_lft forever preferred_lft forever
6765: ***@if6764: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500
qdisc noqueue master docker0 state UP group default
link/ether 86:01:86:e7:82:01 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet6 fe80::8401:86ff:fee7:8201/64 scope link
valid_lft forever preferred_lft forever
Aanvallen via iets wat je toestaat, dus bijvoorbeeld een lokaal netwerk.
Een ander apparaat in je netwerk zou kunnen zijn gehacked.
Het is een server bij OVH, dus ik heb werkelijk geen idee wie er nog
meer op het netwerk zitten. Maar volgens mij komt zelfs iemand met een
IP adres 'naast' heb mijne niet naar binnen.
Wat ik zou gaan doen denk ik, is mijn firewall laten loggen. Ik heb van
$IPTABLES -N logdrop
$IPTABLES -A logdrop -j LOG --log-level info --log-prefix "FW:"
$IPTABLES -A logdrop -j DROP
$IPTABLES -N logaccept
$IPTABLES -A logaccept -j LOG --log-level info --log-prefix "FW:"
$IPTABLES -A logaccept -j ACCEPT
$IPTABLES -N logreject
$IPTABLES -A logreject -j LOG --log-level info --log-prefix "FW:"
$IPTABLES -A logreject -j REJECT
Dat ga ik nog even uitzoeken, vooral logaccept is in dit geval
natuurlijk interessant.
Als ik dan iets wil loggen verander ik b.v. "ACCEPT" in "logaccept" en
dan logt hij dat. Misschien heb je er wat aan.
Groet,
Paul