Sind mehrere Dienst auf dem selben vHost einsehbar?

[Der.Shorty]

Hallo,
ich frage mich eins:
Angenommen ich würde einen Blog auf einem vHost betreiben. Neben diesem Blog befinden sich noch andere Dienste auf dem vHost, z.B. Private Cloud, CRM-Tool was weiß ich...

Ist für fuchsige Blog Besucher das Frontend für die anderen Dienst ermittelbar? Wenn ja, wie würde das von statten gehen?
Mir kam das gerade so in den Sinn, da ich mich für mich mit VMs und Netzwerken im Moment beschäftige und das die Frage recht interessant finde.

Viele Grüße

 

[Benzer]

Wenn die deine URL mit den passenden Ports aufrufen kann das schon sein - deine anderen Dienste sollen ja auch aus dem Internet aufzurufen sein nehme ich an.

 

[sdwaroc]

Sofern Ports geöffnet sind und sich die anderen Dienste identifizieren ist es möglich, dass Nutzer erkennen, dass auf demselben Host mehrere Dienste angeboten werden. Das ist aber nicht weiter schlimm und common practice.

Im Internet findest du viele Homepages die angebotene Dienste von Servern automatisiert ermitteln. Kannst ja mal verschiedene Homepages mit den Tools scannen und schauen was du an Informationen bekommst.

 

[Der.Shorty]

Im Internet findest du viele Homepages die angebotene Dienste von Servern automatisiert ermitteln. Kannst ja mal verschiedene Homepages mit den Tools scannen und schauen was du an Informationen bekommst.

Genau..
Ich hab z.B. meine Domain mit einem Sub-Domain Analyzer analysieren lassen, und da kommt alles bei raus. Webmailer, FTP-Adresse, alle möglichen Dienste..
Und dann brauch man ja nur C&P die URL zu kopieren und Schwupps wär er im Frontend, was eigentlich gar nicht für ihn sichtbar sein soll..

Ist da dann die Kunst diese Leute auszusperren, z.B. mit htaccess?

 

[Sebbi]

Ist für fuchsige Blog Besucher das Frontend für die anderen Dienst ermittelbar?

ja, wenn die Standardeinstellungen und Namen lässt auf jeden Fall, denn es gibt genug scanner, die die Standardpfade abklopfen.

Habe auf meinen vHost auch in den logs pro tag mindestens 3 - 10 Meldungen, wo die Standardpfade abgesucht werden nach Logins, Scripts etc. Da hab ich den Server so eingestellt, das er darauf gar nicht erst antwortet, nicht mal mit einer 404er meldung, einfaches PingTimeout.

Auch subdomains bieten zwar mehr, aber keine vollständigen Schutz.

Du kannst nur regelmäßig kontrollieren, entsprechende Einstellungen vornehmen und immer deine Software aktuell halten.

Ist da dann die Kunst diese Leute auszusperren, z.B. mit htaccess?

da kannste auch gleich das halbe Internet reinschreiben und wenn sich mal deine IP in den bereich gesellt, kommste selbst auch nicht mehr drauf.

 

[Der.Shorty]

da kannste auch gleich das halbe Internet reinschreiben und wenn sich mal deine IP in den bereich gesellt, kommste selbst auch nicht mehr drauf.

Ich hab eher an Passwortschutz als an IP-Black/Whitelist gedacht.

Bei Wordpress kenn ich diese Funktion die du angesprochen hast, das Abfragen mit 404 Beantwortet werden. Das ist ja nicht das Ding, das kann ich nachvollziehen. Mir gings darum, wenn jemand Menschliches akiv ist.
Der Scannt meine domain "Google.de" und erhält als Ergebnis "Webmailer.google.de" "ftp.google.de" "cloud.google.de" etc pp.
Damit hat er meine ganze Domain aufgeschlüsselt.
Würde dann für mich bedeuten: FTP Läuft nicht auf 21, sondern auf (fiktiv) 4533, die Cloud nicht auf 80, sondern auf 5684 ... Dann müsste der Angreifer noch einen Portscan machen, um zu wissen auf welchen Ports Daten durchgeschoben werden, und dann noch herausfinden, welcher Port auf welchem Dienst läuft? Korrekt?
-> Zugegeben, wenn jemand die Zeit und Lust hat das durchzuführen, hab ich vermutlich andere Probleme (), mir gings erstmal nur darum zu verstehen das man nicht ohne weiteres Angreifbar ist.

Bin ich den auf dem richtigen Trichter?

 

[Benzer]

Aber deine Frontends haben doch sowieso Passwortschutz?! Oder nicht???

 

[Der.Shorty]

Aber deine Frontends haben doch sowieso Passwortschutz?! Oder nicht???

Das schon, klar.
Nur hab ich da was im Magen, das der Angreifer direkt Einblick auf den 'nackten' Login hat. Außerdem weiß ich ja nicht wie Schwachstellenanfällig diese Logins sind? Dem würd ich lieber noch etwas vorschieben wollen.
Der Tipp mit der Portänderung fand ich schon hilfreich. Manchmal sieht man den Wald vor lauter Bäumen nicht.

Kann man für den Angreifer eine Zieladresse auch als Tot erscheinen lassen? Bspw das root Verzeichnis von einer Subdomain ist gesperrt/leer, und der Tatsächliche Index ist unter Subdomain/hier-ist-der-echte-index/index.php ?
Ja, oder? Das wäre dann eine Konfigurationssache des betreffenden Dienstes, oder?
(Oder kann der Angreifer auch nach angelegten Verzeichnissen scannen? Dann wäre das ja auch schon wieder Jux )

 

[sdwaroc]

Du kannst natürlich einzelen Subdomains mit VPN oder Proxy schützen, da gibt es viele Möglichkeiten.

Im Internet musst du dich auf solche Sachen wie Login-Sperren verlassen. Wenn du anfängst daran zu zweifeln brauchst mit Servern nicht groß anfangen. Natürlich ist Skepsis angebacht, denn jede Software hat Fehler und Schwachstellen.

Für die meisten Tools findest du in den Tutorials Hinweise zu Sicherheitseinstellungen, bspw. den Ordner phpmyadmin umbenennen um nicht über den Standardpfad erreichbar zu sein. Andererseits ist das Security through Obscurity. Wenn jemand deinen Server knacken will wird ihn das nicht sonderlich aufhalten. Gegen die meisten automatisierten Angriffe (und denen wirst du warscheinlich ausschließlich begegnen) reichen diese Methoden aber aus.

 

[Der.Shorty]

Okay, dann werde ich mich darauf wohl verlassen müssen.
Das ich automatisierte Angriffe abwehren kann, ist auch das das eigentliche Ziel bzw was ich wissen wollte. Wenn sich da bewusst jemand zu schaffen macht, hat man vermutlich andere Probleme.