Tipps
In letzter Zeit häufen sich mal wieder die Angriffe auf Webseiten, bevorzugt Shops. Die Masche der Erpresser läuft meist so, den DDoS Angriff per Email anzukündigen um vorab ein “Schutzgeld” zu erpressen. Näheres wusste bereits der Spiegel unter http://www.spiegel.de/netzwelt/web/0,1518,701879,00.html zu berichten.
Im Gegensatz zum Spiegel Artikel, welcher meist von Säberasseln ausgeht, und eher auf die Trittbrettfahrer abzielt, ist die Bedrohung durchaus real, da sich bereits mit einem Server und ein wenig Perl entsprechend ungeschützte Webserver aus dem Rennen nehmen lassen. Einer der Vertreter dieser Angriffsschnecken, wie ich sie nenne, ist Slowloris, aber es gibt auch andere die ähnlich arbeiten.
Da Slowloris ohne Probleme frei verfügbar ist unter http://ha.ckers.org/slowloris/ , kann jeder halbwegs versierte ITler so einen Angriff starten, sei es zu Kontrollzwecken ob die eigene Infrastruktur vor solchen Angriffen geschützt ist, oder auch zu kriminellen Zwecken, wie der oben genannten Erpressungsweise. Anfällig für solche Angriffe sind zum Beispiel die meisten Apache Server, alte Nginx Versionen und auch diverse andere Webserverplattformen.
In größeren lastverteilten Systemen welche Hardware Balancer nutzen und die korrekt konfiguriert sind, tritt das Problem eher weniger auf, da diese meist von Haus auf ein sogenanntes Late Binding vornehmen, und gegen die meisten dieser Angriffe schützen. Anders sieht es bei alleine im Netz stehenden Servern aus, oder lastverteilten Systemen welche eine Direktverbindung zum Webserver auf dem zum Beispiel ein Apache Server läuft zulassen (IPVS als Beispiel).
Für die letzteren Varianten gibt es aber dennoch diverse Schutzmöglichkeiten. In einem kompletten Setup mit Balancing kann man zum Beispiel als Eintrittstor einen aktuellen NGINX Server nehmen, der auch gleich das SSL Offloading übernehmen kann, aufgrund seiner sehr guten Performance. Dieser greift auf einen HAPROXY zu welcher das Balancing übernimmt. Die eigentlichen Webserver sind am Ende Apache Webserver, welche jedoch mit mod_qos laufen, welches zum Beispiel SLOWLORIS sehr gut abfangen kann.
Die einzelnen Elemente dieser Setups und genauerer Beschreibungen findet man unter den folgenden Links:
Mit diesen Komponenten kann man seine Infrastruktur relativ gut gegen diese Form von Angriffen schützen. Natürlich sollten bei Linuxsystemen von Haus auf zusätzlich TCP_SYNCOOKIES aktiviert sein, um eine andere Angriffsform abzudecken. Distributionen wie aktuelle Fedora oder CentOS haben diesen Parameter bereits als Standardeinstellung aktiviert.
Dann mal erfolgreiches Schützen!
During a project, we came across the problem to proxy the services of a Citrix Secure Gateway for security purposes. No deal I thought, because of the TCP over HTTP tunneling thing I had back in my mind. We’ve tried proxyiing via Squid, as well as Apache and stunnel to no avail. The problem is in the nature of how the SSL Connection is beiing used, and that it’s not a real HTTP connection at all. With the proxying enabled, the session terminates at the proxy system. The secure gateway itself thinks about this like it is a kind of “man-in-the-middle” attack., and denies the connection with an misleading SSL Error 4.
I can understand, that this kind of protection is useful in many ways, but with the usage of http proxy servers and restricted firewall policies it’s more a problem than a feature. You have to either pinpoint you’re firewall with DNATs and the like, or use a commercial feature like the Citrix Secure Gateway Proxy to get rid of the problem.
The final solution to this was, to use socat a multipurpose Relay. From the about page of socat:
socat is a relay for bidirectional data transfer between two independent data
channels. Each of these data channels may be a file, pipe, device (serial line
etc. or a pseudo terminal), a socket (UNIX, IP4, IP6 - raw, UDP, TCP), an
SSL socket, proxy CONNECT connection, a file descriptor (stdin etc.), the GNU
line editor (readline), a program, or a combination of two of these.
These modes include generation of "listening" sockets, named pipes, and pseudo
terminals.
So, whenever you’re facing a problem like this, were regular reverse proxy solutions won’t work, give socat a try, for me it saved my day.
You can get socat at http://www.dest-unreach.org/socat/
Beim Erstellen und Kreieren von Webseiten hat man oft die Qual der Wahl bei der Suche nach dem richtigen Farbschema. Hat man die Grundfarbe erstmal festgelegt, geht die Suche nach harmonisierenden Farben für die restlichen Elemente weiter. Oft ist dies kein einfaches Unterfangen. Hierbei kommt einen zum Beispiel der Online color picker bei Evan Online zur Hilfe. Er ermöglicht eine Festlegung der Grundfarbe und bietet im Anschluß verschiedene harmonisierende Farben zur Auswahl. Zu finden ist der Picker unter Elvan Online – Online color picker, color scheme generator – Young Smart Software
While designing websites you often come to the point where you need to choose the right colorscheme. After you defined the base color, the search for matching supplemental colors begins. This is often not as easy at it seems. But wait, there is help out there, exactly at Evan Online – the color picker. You can specify the base color and the color picker does the search for the other colors for you. You can find the color picker at Elvan Online – Online color picker, color scheme generator – Young Smart Software
Wer häufig Textdateien von unterschiedlichen Platformen unter Windows bearbeitet, der stösst schnell an die unkomfortablen Grenzen des Notepad. Kein Syntaxhighlighting, und beim Transfer der Dateien auf Linux oder andere Unixsysteme gibt es Probleme in der unterschiedlichen Handhabung der Zeilenvorschüben. Verwendet man um diesem entgegenzukommen, die edit.com, welche ebenfalls bei Windows mitgeliefert wird, muss man auf die GUI des Notepad und so manch anderen Komfort verzichten.
ConTEXT Freeware Text Editor bietet nicht nur Syntaxhighlighting und eine Vielzahl von Einstellungsmöglichkeit wie die Handhabung des Zeilenendes, sondern auch eine komfortable Projektverwaltung. Nach der Installation bietet es sogar an, sich als Notepaersatz ins System einzuklinken. So hätte Notepad werden sollen, Microsoft!
Der ConTEXT Freeware Text Editor steht unter http://www.context.cx zum Download bereit.
If you have to edit text files under windows often, you often touch the limits of the notepad.exe application included in windows. No syntax higlighting, problems in the handling of carriage returns and line feeds if you later upload the file to a unix machine, and so on. If you try to use the also included edit.com, to get rid of the CRLF Problem, you looses the benefits of the GUI and other comforts you would had by using notepad.
ConTEXT Freeware Text Editor does not only offer syntax highlighting and a lot of settings like CRLF handling, but also a comfortable project management and much more. Right after the installation it even offers you to replace all calls to notepad in your system with itself. That’s what’s Notepd.exe supposed to be, Microsoft.
You can download the ConTEXT Freeware Text Editor for free at http://www.context.cx.
Ich hoffe ich kann Ihnen einen kurzen Einblick verschaffen, damit Ihnen die Wahl IHRES BSDs einfacher fällt
FreeBSD hatte als ursprüngliches Ziel die beste Performance auf einem i386 System zu liefern. Zuletzt hat es sich aber über eine Zahl anderer Architekturen ausgebreitet wie Alpha und SPARC, sowie die i38 Ableger – Intel’s Itanium und AMD’s Opterion. Das Primäziel ist so robust und effizient auf seinen variablen Platformen zu sein, egal ob am Desktop oder auf Servern.
NetBSD hat als Ziel auf so vielen Platformen wie möglich zu laufen. Es soll das am Besten portierbare OS des Planeten sein, und bisher macht es diesbezüglich einen sehr guten Job.
OpenBSD ist fokusiert auf Sicherheit und dergleichen (manche würden sagen ‘ausschliesslich’). Eine enge Integration von Sicherheit, Überwachbarkeit, Kryptographie und ähnlichen relevanten Dingen sind das primäre Ziel.
I hope I can explain some key facts, so it’s more easy for you to choose YOUR BSD:
FreeBSD originally targetted getting the best possible performance on the 386 platform. Lately, it’s expanded to a number of other platforms including Alpha and SPARC, as well as to the heirs of i386, Intel’s Itanium, and AMD’s Opteron. Its primary goal is to be as robust and efficient as possible on its various platforms, both for server and desktop roles.
NetBSD is aimed at running on as many platforms as possible. Its goal is to be the most portable OS on the planet, and it seems to do a pretty fair job at it.
OpenBSD is focused primarily (some would say ‘solely’) on security and related topics. Tight integration of security and auditability and cryptography and related issues are its primary goal.
- Advisories (2)
- Apache (7)
- Arbeit (21)
- BSD (1)
- Design (5)
- Deutsch (3)
- Internet (6)
- Social Networks (1)
- Internetanbieter (3)
- Linux (14)
- Fedora (6)
- Fedora Core (2)
- Gentoo (1)
- Netzwerk (9)
- PHP (8)
- Privat (5)
- Programmierung (8)
- Software (5)
- Open Source (4)
- Sonstiges (2)
- TCP/IP (7)
- Technologie (28)
- Tipps (13)
- Uncategorized (22)
- Virtualisierung (2)
- Windows (3)
