Hacknutý Dovecot SASL imap

[cur53se]

No po cestě by ti ho nikdo něměl odchytnout (pokud pomineme man in the middle attack) ale v případě špatně nakonfigurovaného serveru někdo mohl právě vydolovat hesla ne z komunikace, ale přímo ze serveru.

Jestli máš hesla uložená v databázi tak změna z plaintextu na MD5 by měla být takřka triviální. Na debianu se podívej do /etc/dovecot/conf.d/* najdi kde máš konfiguraci k databázi a tam by mělo stačit změnit:

default_pass_scheme na to, které si vybereš z http://wiki.dovecot.org/Authentication/PasswordSchemes

[Reklama]

[Darkhunter]

To máme md5.
Já myslel, že tady máme plain:
auth_mechanisms = plain login

[D.J.Bobo]

Na každý účet se připojili z jiné IP a připojení bylo tohoto typu:
Mar 10 17:26:15 server postfix/smtpd[21007]: Anonymous TLS connection established from unknown[143.255.144.109]: TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)
Mě by hlavně zajímalo,
jak je možné, že když to máme zabezpečené přes SSL/TLS, tak že se někdo dostal k našim heslům.
Navíc je zajímavé, že když jsem změnil z plain na login auth metodu, tak se útočník dokázal přihlásit a naši uživatelé se tam nemohli dostat.

Ale tady není nic o Dovecotu, tady je Postfix/smtpd: Máš nastavené v Postfixu, že uživatelé se musí pro SMTP připojovat Loginem? (SASL), nebo ne? Pokud máš blbě restrikce, pak jsi v podstatě OnenRelay a TLS tomu nezabrání.

Kód [Vybrat] Rozbalit


smtpd_recipient_restrictions = permit_mynetworks,
[b]permit_sasl_authenticated,[/b]
                                reject_non_fqdn_hostname,
                               [u] [b]reject_unauth_destination,[/b][/u]
                                permit

A nebo jak psáno níže, někdo ti propašoval na server nějaký script (přes Apache ...) a ten spouští.
Postfix obvykle localhostu důvěřuje a nevyžaduje ověření heslem.

[Mirek Prýmek]

OS je Debian 7, dovecot je verze 2.1.7

No, to je fajn, ale těch otázek tam bylo víc a základní otázka je, jak jsi vlastně došel na názor, že problém byl v dovecotu. Ten slouží ke čtení mailů, odesílají se přes úplně jiný soft (ve tvém případě postfix, ze kterého jsi vyzobl ten řádek s přihlášením).

Taky jsi neodpověděl, jestli ten postfix nemáš náhodou jako open relay. Jak se na smtp autentizuje? Není třeba z vnitřní sítě bez autentizace? Atd. atd.

Nikoho nebude bavit z tebe všechno tahat jak z chlupaté deky. Pokud chceš slušně poprosti o radu (zadarmo!), tak musíš spolupracovat a dodat všechny potřebné informace.

[Mirek Prýmek]

Plaintext mi tedy normální úplně nepříjde. Už jenom například z toho důvodu, že nechci aby root věděl jaké mám heslo.

Plaintext auth se úplně normálně používá. Líbit se ti to nemusí a používat to nemusíš, k tomu tě nikdo nenutí

[Reklama]

[Darkhunter]

Musí to být dovecotem. Od té doby, co jsem ve firewallu povolil 993 jen pro lokální síť, tak to přestalo dělat.
Navíc se ten člověk připojoval přes SASL.

Není to vnitřní síť. Relay zakazaná. Dá se tam dostat jen z localhostu nebo přes imap.

[Mirek Prýmek]

Dá se tam dostat jen z localhostu nebo přes imap.

Máš v tom chaos. Sám jsi před chvilkou řekl tohle:

Na každý účet se připojili z jiné IP a připojení bylo tohoto typu:
Mar 10 17:26:15 server postfix/smtpd[21007]: Anonymous TLS connection established from unknown[143.255.144.109]: TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)

- všimni si prosím toho "postfix/smtpd". To fakt není imap.

[Darkhunter]

Tohle bylo ještě před tím a lognul se přes usera:
Mar 10 16:23:00 server postfix/smtpd[11754]: 0838322A05F6: client=unknown[176.111.254.59], sasl_method=PLAIN, sasl_username=

[Mirek Prýmek]

Nikoho nebude bavit z tebe všechno tahat jak z chlupaté deky. Pokud chceš slušně poprosti o radu (zadarmo!), tak musíš spolupracovat a dodat všechny potřebné informace.

[D.J.Bobo]

Tohle bylo ještě před tím a lognul se přes usera:
Mar 10 16:23:00 server postfix/smtpd[11754]: 0838322A05F6: client=unknown[176.111.254.59], sasl_method=PLAIN, sasl_username=

Tak ti někdo nějak vybrabčil hesla uživatelů. Doporučuji zkontrolovat přístup k MySQL (ideálně jen z localhostu) a vynutit na uživatelích změnu hesel, nebo dočasně zakázat odesílání pošty z venku pro všechny (než si změní hesla).
A vynutit delší než 1234

Pamatuj, nejslabší článek v jakémkoliv zabezpečení je vždy uživatel. Když mě naposledy hákli FTP (naštěstí jen nahráli skripty, nemohli je spustit ani smazat ...), tak jsem FTP vypnul (stejně nebylo nutné). U mailu se mi to zatím (ťukťuk) nestalo.

[Kolemjdoucí]

Tohle bylo ještě před tím a lognul se přes usera:
Mar 10 16:23:00 server postfix/smtpd[11754]: 0838322A05F6: client=unknown[176.111.254.59], sasl_method=PLAIN, sasl_username=

A predpokladam ze Postfix nepouziva zadny filtr ktery by jednotlivym uzivatelum pocital kolik uz odeslali e-mailu, takze je to pro spamera ktery jakkoliv zjisti heslo nejakeho uzivatele neco jako raj. Bohuzel po kazdem takovem utoku spousta legitimnich e-mailu prestane odchazet protoze se IP adresa serveru dostane na smtp blacklisty kterym spousta serveru veri natolik aby e-maily z vasi IP adresy rovnou odmitaly.

Rada z praxe: uzivatelum omezit povoleny pocet odeslanych e-mailu za den (ja napriklad pouzivam upraveny policyd) a automaticky kontrolovat zda ten limit nedosahli, pokud ano tak jim automaticky zablokovat moznost odesilani mailu (ale ne prijimani) a poslat e-mail s informacemi o tom co se stalo a jak to mohou vyresit (napr. ze jim e-maily pujdou odesilat az po tom co si nastavi nove heslo).

I kdyz server zabezpecite maximalne, porad budete bojovat s tim ze hesla uzivatelum budou utocnici krast z jejich pocitacu kde je maji ulozena. Musite proto s timto pocitat a zadnemu uzivateli neduverovat natolik ze mu umoznite odesilat e-maily uplne bez omezeni!

[Kolemjdoucí]

Tady se jedná o způsob autentizace. Plaintext je normální, pokud jde přes bezpečný kanál (v tomhle případě - snad - TLS).

Plaintext mi tedy normální úplně nepříjde. Už jenom například z toho důvodu, že nechci aby root věděl jaké mám heslo.

Tak v tom případě to heslo nikdy na server neposílejte, protože už jenom tím si ho root může zjistit.

[ByCzech]

Nikoho nebude bavit z tebe všechno tahat jak z chlupaté deky. Pokud chceš slušně poprosti o radu (zadarmo!), tak musíš spolupracovat a dodat všechny potřebné informace.

Já se divím, že s tímhle mantinelem zabržděným máte tolik trpělivosti. Je očividně úplně blbej, myslí si, že když si na POP3/IMAP4 službě dá SSL/TLS, tak že má zabezpečený SMTP, neumí dát informace, přestože je o ně několikrát žádán a ještě si stěžuje, že ti co tomu rozumí mu na blbé otázky neumějí dát jiné, než blbé odpovědi.

Mám pocit, že nastává dost nepříjemná doba, protože tyhle lamy se začínají ve velkém montovat do správy Linuxových serverů a myslí si, že bez znalostí to bude vše v pořádku. Ach jo!

[pavlix]

Pokud jde o plaintext hesla, tak jsem k tomu nedávno něco málo sepsal...

http://www.abclinuxu.cz/clanky/plaintextova-hesla-uzivatele-a-scram

[rCa03fS6EvSj500x]

Jak to zabezpečit, aby se to příště nestalo

Zabezpečí se to takhle: v /etc/dovecot.conf musíš zapnout:

Kód [Vybrat] Rozbalit


hackable = false
secure = true


pobavilo ;[] vzhledem k vyvoji diskuse je ovsem reseni mnohem jednodussi a prospesnejsi okoli

Kód [Vybrat] Rozbalit

sudo shutdown -h now "be secured"

pozor: funkcni reseni!