Безопасность Астериска и Эластикса

1

1

Сап, лор.

Держу VPS-ку с эластиксом для нужд своих, ломают второй раз. В результате взлома появились 2 экстеншена и через них с десятка два неотвеченных звонков на 25-30 значные номера.

На серваке стоит fail2ban, банит кривые авторизации по SIP, банит SSH. Апач висит на совсем нестандартном порту.

Через что эту хрень ломают? ПОнять уже не могу. Взлом-то явно не брутфорсом.

Ссылка

←	Где храним свои пароли (и как их создаем)?

Украдены пароли от 68680741 аккаунтов пользователей Dropbox

→

Вебморда? Там были занятные косяки раньше типа забил 5-6 команд с кривой авторизацией, а потом как админ с нормальной зашёл- все команды выполнились

upcFrost ★★★★★
(31.08.16 12:39:17 MSK)
Последнее исправление: upcFrost 31.08.16 12:40:40 MSK (всего исправлений: 1)

Ответ на: комментарий от upcFrost 31.08.16 12:39:17 MSK

Морда мордой, но висит она на 8000-м порту. Они все порты перебирали, что ли?

Llevellyn ☆
(31.08.16 12:42:40 MSK) автор топика

Ответ на: комментарий от Llevellyn 31.08.16 12:42:40 MSK

8000, 8080, 8888 - тоже стандартные порты

GoNaX ★★★
(31.08.16 12:48:25 MSK)

Ссылка

можешь скинуть IP и коллективный разум лора тебе поможет.

Покажи выхлоп

 netstat -tunelp

Какая версия у elasticsearch? Он слушает наружу? Я надеюсь авторизация по пользователям стоит.

snaf ★★★★★
(31.08.16 12:54:37 MSK)
Последнее исправление: snaf 31.08.16 13:03:34 MSK (всего исправлений: 1)

Ответ на: комментарий от snaf 31.08.16 12:54:37 MSK

http://pastebin.com/KhCP0MPt

Причем тут elasticsearch?

Llevellyn ☆
(31.08.16 13:07:15 MSK) автор топика

Ответ на: комментарий от snaf 31.08.16 12:54:37 MSK

+1, давай адрес, подолбим. Потом порт сменить не забудь. И кстати - у тебя правда вебморда наружу смотрит.

Если адрес давать лень- подними Metasploit и потыкай им сервак, там вроде под астер тоже были вещи. Ну и кури логи всего и всех

upcFrost ★★★★★
(31.08.16 13:10:52 MSK)
Последнее исправление: upcFrost 31.08.16 13:12:49 MSK (всего исправлений: 2)

Ответ на: комментарий от upcFrost 31.08.16 13:10:52 MSK

Айпишник светить нет желания.

Вебморду на 8444 перевесил. Для эластикса это не защита? Закрывать вообще?

Llevellyn ☆
(31.08.16 13:20:10 MSK) автор топика

Я поставил дырявое дерьмо, скажите мне почему меня сломали?

~~zgen~~ ★★★★★
(31.08.16 13:28:48 MSK)

Ответ на: комментарий от Llevellyn 31.08.16 13:07:15 MSK

Причем тут elasticsearch?

мдам.. я быстро прошёлся глазами и подумал что речь идёт о elasticsearch =)

snaf ★★★★★
(31.08.16 13:34:06 MSK)

Ссылка

Ответ на: комментарий от zgen 31.08.16 13:28:48 MSK

Потому что дерьмо - дырявое.

Llevellyn ☆
(31.08.16 13:35:12 MSK) автор топика

Ссылка

Ответ на: комментарий от Llevellyn 31.08.16 13:20:10 MSK

Вебморду на 8444 перевесил. Для эластикса это не защита? Закрывать вообще?

портскан его найдет хоть на 8444, хоть на 1234, это не важно. Есть ли вообще реальная необходимость выставлять пыхоморду дыркой наружу? Если ну ваще ппц как хочется чтоб была вебморда - ну порт в ssh прокинешь на худой конец. Поставь доступ только с локальной подсети

upcFrost ★★★★★
(31.08.16 15:58:15 MSK)
Последнее исправление: upcFrost 31.08.16 15:58:36 MSK (всего исправлений: 1)