Page 1 of 1

FTP mit Falschem PW erreichbar!

Posted: 2003-12-13 22:59
by viperb0y
Hallo,

Mir ist aufgefallen das ich alle useraccounts über ftp mit jedem beliebigen passwort erreichen kann!

Weis jemand wie man diese riesige sicherheitslücke beheben kann?

Ich weis leider überhaupt nicht worans liegt

P.S. Ich benutze Confixx zur verwaltung (jaja ich weis da es kagge ist)

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-13 23:41
by checker
Hmm habe von diesem problem noch nie gehört, aber vielleicht gibst du nochmal die genauen Details deines rotties an, confixx version und deine distri etc. dann kann man dir sicher besser weiterhelfen!

MfG checker

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-13 23:44
by viperb0y
SuSe 8.2
Neuste Confixx version
ProFTPD 1.2.8rc

Also bei jedem user account der ftp account hat kann man sich mit einem beliebigen pw einloggen :(

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-14 08:15
by captaincrunch
-> Datentransfer & Backup, da ein FTPd nichts mit dem Apachen zu tun hat.

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-14 12:35
by viperb0y
Hat keiner lust mir zu helfen?

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-14 12:49
by boozedǃ
Eher wohl zu wenig Infos.
Wie sieht deine FTPD Config aus?

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-26 19:50
by viperb0y
Hier ist meine Config:

Code: Select all

#### CONFIXX PRO-FTPD CONFIG FILE ####
    #### created at Fri Oct  3 17:31:48 2003 ###

# This is a basic ProFTPD configuration file (rename it to
# 'proftpd.conf' for actual use.  It establishes a single server
# and a single anonymous login.  It assumes that you have a user/group
# "nobody" and "ftp" for normal operation and anon.

ServerName	{NOPE}
ServerType	standalone
DefaultServer	on
ServerAdmin	{NOPE}
ServerIdent     on "FTP Server ready."
#LsDefaultOptions "-a"
ListOptions "-a"

# Port 21 is the standard FTP port.
Port                            21

# Umask 022 is a good standard umask to prevent new dirs and files
# from being group and world writable.
Umask                           022

# To prevent DoS attacks, set the maximum number of child processes
# to 30.  If you need to allow more than 30 concurrent connections
# at once, simply increase this value.  Note that this ONLY works
# in standalone mode, in inetd mode you should use an inetd server
# that allows you to limit maximum number of processes per service
# (such as xinetd)
MaxInstances                    30

# Set the user and group that the server normally runs at.
User                            nobody
Group                           nogroup

TransferLog	/var/log/xferlog

# Normally, we want files to be overwriteable.
AllowOverwrite                on

#
# Do a chroot for web-users (i.e. public or www group), but
# do not change root if the user is also in the users group...
#
#DefaultRoot ~/public_html       public,!users
#
DefaultRoot ~

# Groups that are not allowed to login
<Limit LOGIN>
DenyGroup poponly
</Limit>


     ### ENDE ####

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-26 20:12
by suntzu
Hi,

ich gebe dir einfach mal meine Config, das mit den Passwörtern ist echt komisch... Was steht in den Logs?

Code: Select all

ServerName                      "Debian"
ServerType standalone
DeferWelcome                    off

ShowSymlinks                    on
MultilineRFC2228 on
DefaultServer                   on
ShowSymlinks                    on
AllowOverwrite                  on

TimeoutNoTransfer 600
TimeoutStalled 600
TimeoutIdle 1200

DisplayLogin                    welcome.msg
DisplayFirstChdir               .message
LsDefaultOptions                "-l"

DenyFilter                      *.*/

Port                            21

MaxInstances 30

User                            nobody
Group                           nogroup

<Directory /*>
  Umask                         022  022
  AllowOverwrite                on
</Directory>

<Global>
DefaultRoot ~
RequireValidShell off
MaxClients none
MaxClientsPerHost none
</Global>
Gruß,
Dominik

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-26 20:34
by viperb0y
Wo finde ich die logs? Ich find die nicht :( :oops:

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-26 20:38
by suntzu
Hi,

Ich weiß nicht, wo bei Suse die Logs liegen, bei mir ist es in /var/log/, speziell das auth.log da ich für proftpd kein eigenes Log angegeben habe.

Gruß,
Dominik

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-26 21:12
by viperb0y
Hab einfach ne neue version draufgemacht! jetzt gehts!

Re: FTP mit Falschem PW erreichbar!

Posted: 2003-12-28 23:42
by majortermi
Wie sieht die PAM-Konfiguration für den Service aus?