dos attacken auf proftpd

[fulltilt]

habe seit 2 tagen auf 2 systemen zur gleichen zeit heftige dos attacken auf den ftp server (load bis 110%) ...
die angreifer habe ich erst mal ausgesperrt allerdings gehts bestimmt bald wieder los
gibt es bei proftpd ein sicherheitsproblem bzw was kann man noch tun um diese verbindungen zu blockieren - fail2ban hat da nicht schnell genug reagiert bzw überhaut noch reagiert ...
MaxInstances 30 (proftpd.conf)
wäre ist es ratsam die MaxInstances noch weiter runter zu setzen?

##edit##
habe hier noch etwas entdeckt:
fail2ban.actions.action: ERROR iptables -N fail2ban-proftpd
iptables -A fail2ban-proftpd -j RETURN
iptables -I INPUT -p tcp -m multiport --dports ftp,ftp-data,ftps,ftps-data -j fail2ban-proftpd returned 400

[ShadowJumper]

Hi,

ja da gibt/gab es eine aktuelle Lücke im Proftpd. Diese sollte aber von den Distributionen mittlerweile eigentlich gefixt worden sein.

[fulltilt]

hm - bei den beiden lenny server kann ich mich in letzter zeit nicht an ein proftpd update erinnern ...
hab jetzt erstmal die fail2ban conf verbessert das es funktioniert und die instanzen auf 20 gesetzt :-)

(12-02-2010 10:04 PM)ShadowJumper Wrote:  ja da gibt/gab es eine aktuelle Lücke im Proftpd. Diese sollte aber von den Distributionen mittlerweile eigentlich gefixt worden sein.

[ShadowJumper]

Es gab ein Update, aber soweit ich mich erinnern kann liegt das schon gut 4-6 Wochen zurück. Ist also eigentlich schon "alt".

[BeNe]

Mehr oder weniger. Bei Lenny ist allerdings eine ältere Version dabei die diesen
Bug nicht hatte, daher war auch kein Update nötig.

Greez BeNe

[fulltilt]

mir ist vorher nicht aufgefallen das fail2ban nicht richtig funktionierte ...
ich denke das wird jetzt wohl wieder ruhiger werden mit dos

LG

[ShadowJumper]

(12-03-2010 12:00 AM)fulltilt Wrote:  mir ist vorher nicht aufgefallen das fail2ban nicht richtig funktionierte ...
ich denke das wird jetzt wohl wieder ruhiger werden mit dos

LG

Ja, dank fail2ban hat man echt ruhe.Früher hatte ich die Logs teilweise Seitenlang voll mit "angriffen" auf alle möglichen Dienste und vor allem Programme (z.b. pma und co).

Mit fail2ban ist hingegen relativ schnell ruhe, ich habe es im letzten halben Jahr nur 1x erlebt, das fortlaufend von 2 IPs was gekommen ist. Fortlaufend daher, weil die 2. IP genau dort weitergemacht hat, wo die erste 1. IP aufgehört hat, also z.b. suche Ordner pma1,pma2,pma3 -> Bann, IP2 daraufhin suche Ordner pma4, pma5, pma6 -> Bann, danach war ruhe. Auf einem anderen System was zeitgleich noch nicht mit fail2ban lief konnte man aber sehen das die da hunderte von Verzeichnissen abgesucht haben.

Man ist dann einfach nicht mehr interessant (gibt wohl genug bessere bzw. leichtere Ziele).

[fulltilt]

hab nur anfangs beim starten von fail2ban 100% cpu load, geht dann aber nach 1 minute ganz runter - sind etwa 500 webs auf der kiste drauf (viele logfiles) ...
sind das schon zu viele webs?

[menki]

hallo,

hängt natürlich vom server ab. aber wie ich das ganze einschätzen konnte sind 200 webs auf einem dualcore mit 8gb ram schon genug. vor allem an feiertagen steigt teilweise die load drastisch an.

MENKI

[fulltilt]

hier scheint es doch ein massives security problem zu sein:
http://www.proftpd.org/index.html