{"id":30310,"date":"2019-10-31T21:34:48","date_gmt":"2019-10-31T18:34:48","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ya-proskaniroval-ukrainu\/"},"modified":"2019-10-31T21:34:48","modified_gmt":"2019-10-31T18:34:48","slug":"ya-proskaniroval-ukrainu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/ya-proskaniroval-ukrainu","title":{"rendered":"Ich habe die Ukraine gescannt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Februar ver\u00f6ffentlichte der \u00d6sterreicher Christian Haschek in seinem Blog einen interessanten Artikel mit dem Titel \u201eIch scannte ganz \u00d6sterreich\u201c<\/a><\/noindex>. Nat\u00fcrlich war ich neugierig, was passieren w\u00fcrde, wenn man diese Studie mit der Ukraine wiederholen w\u00fcrde. Nach vielen Wochen intensiver Informationssammlung und ein paar Tagen, um den Artikel zu verfassen, sowie Gespr\u00e4chen mit verschiedenen Vertretern unserer Gesellschaft, um pr\u00e4zisere Informationen zu erhalten. Bitte lesen Sie weiter\u2026
\n<\/a><\/noindex><\/p>\n

TL;DR<\/h2>\n

\nF\u00fcr die Informationssammlung wurden keine speziellen Mittel eingesetzt (obwohl einige Personen empfahlen, dasselbe OpenVAS zu verwenden, um die Untersuchung gr\u00fcndlicher und informativer zu gestalten). Die Sicherheit der IP-Adressen, die zur Ukraine geh\u00f6ren (dar\u00fcber weiter unten), ist meiner Meinung nach eher schlecht (und ganz sicher schlechter als das, was in \u00d6sterreich passiert). Es wurden keine Versuche unternommen, die entdeckten verwundbaren Server zu nutzen, und es sind auch keine geplant.<\/p>\n

Zun\u00e4chst: Wie kann man alle IP-Adressen erhalten, die zu einem bestimmten Land geh\u00f6ren?<\/h2>\n

\nDas ist tats\u00e4chlich sehr einfach. IP-Adressen werden nicht von dem Land selbst generiert, sondern diesem zugeteilt. Daher gibt es eine Liste (und die ist \u00f6ffentlich) aller L\u00e4nder und aller IP-Adressen, die ihnen geh\u00f6ren.<\/p>\n

Jeder kann sie herunterladen<\/a><\/noindex>, und dann mit grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv filtern.<\/p>\n

Ein einfaches Skript, das Christian erstellt hat,<\/a><\/noindex>, erm\u00f6glicht es, die Liste in ein n\u00fctzlicheres Format zu bringen.<\/p>\n

Die Ukraine besitzt fast so viele IPv4-Adressen wie \u00d6sterreich, \u00fcber 11 Millionen. Genauer gesagt 11 640 409 (zum Vergleich: in \u00d6sterreich sind es 11 170 487).<\/p>\n

Wenn Sie nicht selbst mit IP-Adressen spielen m\u00f6chten (und das sollte man wirklich nicht!), k\u00f6nnen Sie den Dienst Shodan.io<\/a><\/noindex>.<\/p>\n

nutzen. Gibt es in der Ukraine nicht gepatchte Windows-Maschinen, die direkten Zugriff auf das Internet haben?<\/h2>\n

\nNat\u00fcrlich wird kein vern\u00fcnftiger Ukrainer solchen Zugriff f\u00fcr seine Computer \u00f6ffnen. Oder etwa doch?<\/p>\n

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l<\/code><\/pre>\n
\n5669 Windows-Maschinen mit direktem Zugang zum Netzwerk wurden gefunden (in \u00d6sterreich sind es nur 1273, aber das ist auch schon viel).<\/p>\n
Ups. Gibt es darunter welche, die mit Hilfe von ETHERNALBLUE, das seit 2017 bekannt ist, angegriffen werden k\u00f6nnten? In \u00d6sterreich gab es kein einziges solches Ger\u00e4t, und ich hatte gehofft, dass auch in der Ukraine keine gefunden werden w\u00fcrden. Leider war das umsonst. Es wurden 198 IP-Adressen gefunden, die dieses \"Loch\" nicht geschlossen haben.<\/p>\n
DNS, DDoS und die Tiefe des Kaninchenbaus<\/h2>\n
\nGenug von Windows. Schauen wir uns an, was wir mit den DNS-Servern haben, die Open-Resolver sind und f\u00fcr DDoS-Angriffe genutzt werden k\u00f6nnen.<\/p>\n
Das funktioniert ungef\u00e4hr so. Der Angreifer sendet eine kleine DNS-Anfrage, und der anf\u00e4llige Server antwortet dem Opfer mit einem Paket, das 100-mal gr\u00f6\u00dfer ist. Boom! Unternehmensnetzwerke k\u00f6nnen durch solch gro\u00dfe Datenmengen ziemlich schnell zusammenbrechen, und f\u00fcr den Angriff ist eine Bandbreite erforderlich, die ein modernes Smartphone bereitstellen kann. Solche Angriffe gab es nicht selten<\/a><\/noindex> sogar auf GitHub.<\/p>\n
Lass uns schauen, ob es solche Server in der Ukraine gibt.<\/p>\n
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l<\/code><\/pre>\n
\nAls ersten Schritt finden wir die, die einen offenen Port 53 haben. Dabei haben wir eine Liste von 58.730 IP-Adressen, aber das bedeutet noch nicht, dass sie alle f\u00fcr DDoS-Angriffe verwendet werden k\u00f6nnen. Es muss das zweite Kriterium erf\u00fcllt sein, n\u00e4mlich dass sie Open-Resolver sind.<\/p>\n
Daf\u00fcr kann man den einfachen Befehl dig verwenden und sehen, dass wir \"graben\" k\u00f6nnen: dig + short test.openresolver.com TXT @ip.of.dns.server. Wenn der Server mit open-resolver-detected antwortet, kann er als potenzielles Angriffsziel betrachtet werden. Open Resolver machen etwa 25 % aus, was mit \u00d6sterreich vergleichbar ist. In absoluten Zahlen entspricht das etwa 0,02 % aller ukrainischen IPs.<\/p>\n
Was kann man noch in der Ukraine finden?<\/h2>\n
\nIch freue mich, dass Sie fragen. Es ist einfacher (und f\u00fcr mich pers\u00f6nlich am interessantesten), die IPs mit offenem Port 80 zu betrachten und was darauf l\u00e4uft.<\/p>\n
Webserver<\/h3>\n
\n260.849 ukrainische IPs antworten auf Port 80 (http). 125.444 Adressen haben positiv (Status 200) auf eine einfache GET-Anfrage geantwortet, die Ihr Browser senden kann. Die \u00fcbrigen gaben die eine oder andere Fehlermeldung aus. Interessanterweise gaben 853 Server einen Status 500 aus, und die seltensten Status waren 407 (Anfrage zur Proxy-Authentifizierung) und der absolut nicht standardm\u00e4\u00dfige 602 (IP nicht auf der \"Whitelist\") mit jeweils einer Antwort.<\/p>\n
Apache dominiert absolut \u2013 114.544 Server verwenden ihn. Die \u00e4lteste Version, die ich in der Ukraine gefunden habe, ist 1.3.29, erschienen am 29. Oktober 2003 (!!!). nginx steht mit 61.659 Servern an zweiter Stelle.<\/p>\n
11 Server nutzen WinCE, das 1996 ver\u00f6ffentlicht wurde und 2013 nicht mehr gepatcht wurde (in \u00d6sterreich sind es nur 4).<\/p>\n
Das Protokoll HTTP\/2 verwendet 5.144 Server, HTTP\/1.1 \u2013 256.836, HTTP\/1 \u2013 13.491.<\/p>\n
Drucker\u2026 weil\u2026 warum nicht?<\/h3>\n
\n2 HP, 5 Epson und 4 Canon, die aus dem Netzwerk verf\u00fcgbar sind, einige davon ohne jegliche Authentifizierung.<\/p>\n
\"Ich
\n <\/p>\n
Webcams<\/h3>\n
\nEs ist keine Neuigkeit, dass es in der Ukraine SEHR viele Webcams gibt, die sich ins Internet \u00fcbertragen und auf verschiedenen Ressourcen gesammelt wurden. Mindestens 75 Kameras streamen ins Internet ohne jeglichen Schutz. Man kann sie sich ansehen hier<\/a><\/noindex>.<\/p>\n
\"Ich
\n <\/p>\n
Was folgt jetzt?<\/h2>\n
\nDie Ukraine ist ein kleines Land, wie \u00d6sterreich, hat aber die gleichen Probleme wie gro\u00dfe L\u00e4nder im IT-Bereich. Wir m\u00fcssen ein besseres Verst\u00e4ndnis daf\u00fcr entwickeln, was sicher und was gef\u00e4hrlich ist, und die Ger\u00e4tehersteller sollten eine sichere Grundkonfiguration ihrer Ger\u00e4te bereitstellen.<\/p>\n
Au\u00dferdem sammle ich Partnerunternehmen (Partner werden<\/a><\/noindex>), die Ihnen helfen k\u00f6nnen, die Integrit\u00e4t Ihrer IT-Infrastruktur zu sichern. Im n\u00e4chsten Schritt plane ich eine Sicherheits\u00fcberpr\u00fcfung ukrainischer Websites. Bleiben Sie dran!
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412 \u0444\u0435\u0432\u0440\u0430\u043b\u0435 \u0430\u0432\u0441\u0442\u0440\u0438\u0435\u0446 Christian Haschek \u0432 \u0441\u0432\u043e\u0435\u043c \u0431\u043b\u043e\u0433\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c \u00ab\u042f \u043f\u0440\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u0441\u044e \u0410\u0432\u0441\u0442\u0440\u0438\u044e\u00bb. \u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u043c\u043d\u0435 \u0441\u0442\u0430\u043b\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u0447\u0442\u043e \u0431\u0443\u0434\u0435\u0442, \u0435\u0441\u043b\u0438 \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u044d\u0442\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435, \u043d\u043e \u0443\u0436\u0435 \u0441 \u0423\u043a\u0440\u0430\u0438\u043d\u043e\u0439. \u041d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u0434\u0435\u043b\u044c \u043a\u0440\u0443\u0433\u043b\u043e\u0441\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0431\u043e\u0440\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438, \u0435\u0449\u0435 \u043f\u0430\u0440\u0443 \u0434\u043d\u0435\u0439 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0444\u043e\u0440\u043c\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u044c\u044e, \u0430 \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0431\u0435\u0441\u0435\u0434\u044b \u0441 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u0435\u043b\u044f\u043c\u0438 \u043d\u0430\u0448\u0435\u0433\u043e \u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30310","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Ich habe die Ukraine gescannt | ProHoster","description":"Im Februar ver\u00f6ffentlichte der \u00d6sterreicher Christian Haschek in seinem Blog einen interessanten Artikel mit dem Titel \u201eIch habe ganz","canonical_url":"https:\/\/prohoster.info\/de\/blog\/ya-proskaniroval-ukrainu","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u042f \u043f\u0440\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u0423\u043a\u0440\u0430\u0438\u043d\u0443 | ProHoster","og:description":"\u0412 \u0444\u0435\u0432\u0440\u0430\u043b\u0435 \u0430\u0432\u0441\u0442\u0440\u0438\u0435\u0446 Christian Haschek \u0432 \u0441\u0432\u043e\u0435\u043c \u0431\u043b\u043e\u0433\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c \u00ab\u042f \u043f\u0440\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u0441\u044e.","og:url":"https:\/\/prohoster.info\/de\/blog\/ya-proskaniroval-ukrainu","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:48+00:00","article:modified_time":"2019-10-31T18:34:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30310","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30310","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=30310"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30310\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=30310"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=30310"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=30310"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}