Tracker: Torrent Trader
Source: NetVision by BonkeR
Im Rahmen unserer TOG-Reviews haben wir Torrent Trader etwas eingehender untersucht.
Serversicherheit
OS: Linux, Debian 8
Webserver: Apache
SMTP: Postfix
SSH: OpenSSH 6.7p1 Debian 5+deb8u7
MySQL: 5.5.62
SSH liegt nicht auf dem Standardport, das ist schon mal gut. Weitere Services auf dem Server sind SHOUTcast und Teamspeak 3. Entweder laufen zwei verschiedene SHOUTcast Dienste oder einer mit 4 offenen Ports. Das erscheint zumindest fragwürdig.
Eine Firewall konnten wir nicht feststellen. Falls eine existiert, ist sie in ihrer derzeitigen Konfiguration nicht effektiv genug.
Erwähnen muss man an dieser Stelle noch den Serverstandort online.net in Frankreich. Als direktes Nachbarland und mit guten bilateralen Beziehungen zwischen Frankreich und Deutschland, ist der Standort kaum sicherer als Deutschland selber.
Trackersicherheit
Hier wurde leider auch wieder ohne Sinn und Verstand irgendeine Source installiert und gehofft, dass das irgendwie ausreichend ist. War es in diesem Fall leider nicht, weshalb wir uns problemlos Zugang verschaffen konnten.
Proof
Datenbanken
- information_schema
- TTsecure
Auszug Benutzertabelle
id username class ip added pin passhash 1 Waitinghill 200 51.38.*.* 2015-02-08 11: 01:32 w*@nicht-hein-bloed.bin 1940 3eea216288ed943a97c22518e85edafe 2 Phoenix 110 109.40.*.* 2016-12-10 18: 01:22 tur*@aol.de 112 7ada13cf5467525a0ad5ff662eb7a8ff 720 Feldwebel 6 91.7.*.* 2016-07-17 00:45:10 feldwebel@*.de 1904 f007096c38c46c6e886af0f8d88cf7da 893 knechtos 6 149.172.*.* 2017-03-30 15:05:25 knechtos@*.de 1305 e2de02f4fcf5529a7c96dd152af2cffe 895 kleinehexe 9 109.40.*.* 2017-03-30 15:54:15 kleinehexe*@*.de 2015 98500aa68efe44f71412a40cf35f6f13 896 Doc© 8 37.4.*.* 2017-03-30 15:59:06 geht*@googlemail.com 965 d59f8897c25ed0aff358659d00aa63fa 897 Dumbo 5 91.64.*.* 2017-03-30 16:16:28 Dumbo*@*.de 1603 ebf9f53d7213334a7a5451624c5e9f42 900 Cindy 9 87.132.*.* 2017-03-30 17:12:19 *@word-of-tomorrow.eu 1111 dce47fe5afcfc8ab24b43dee8083f010 901 Pritzis 5 86.56.*.* 2017-03-30 17:21:00 *@liwest.at 4716 d1f816f8915d7c5cfdab94d017791459 902 Nettom 5 84.44.*.* 2017-03-30 17:24:03 nettom@*.de 1365 8f39c135611b83b5cb32971d61d59fbe
Fazit
Wir wurden vor Kurzem von dem Betreiber nach einer Einschätzung der Sicherheit gefragt und hatten auch dort bereits vermittelt, dass der Tracker in keinem guten Zustand ist. Obwohl bekannt war, dass ein Security-Review ansteht, ist trotzdem nichts passiert. Der Tracker läuft nach wie vor mit den gleichen Sicherheitslücken und bietet den Nutzern keinerlei Schutz. Hier wird grob fahrlässig auf Kosten der Sicherheit gehandelt, was auf jeden Fall ein dickes Unsafe bedeutet.
