-
Helltorrent
Tracker: Helltorrent
Source: veränderte NetVision-Source ?
Ja, es war lange Zeit ruhig um die Security-Reviews, was aber nicht heißen soll, dass es keine mehr gibt. Momentan habe ich leider kaum Zeit, obwohl ich schon für einige weitere Tracker Reviews vorbereitet habe. Allerdings will ich nicht einfach stumpf die Sicherheitslücken posten, sondern die Informationen lieber vernünftig aufbereiten, damit jeder, unabhängig von technischen Skills, sich ein Bild machen kann.
Heute bzw. eigentlich schon vor ein paar Monaten, habe ich mir den Tracker „Helltorrent“ vorgeknöpft. Ich hatte vorher noch nie davon gehört. Zu diesem Tracker existiert leider in unserer Trackerliste kein Eintrag und auch ein Review gibt es bei uns offenbar nicht (wer will, kann diesen Missstand gerne beheben). Ok, genug mit dem Vorgeplänkel, legen wir mal los.
Serversicherheit
Besonderer Dank an Instab an dieser Stelle, der sich den Server mal etwas genauer angeschaut hat. Leider sieht es auch hier nicht besonders gut aus. Ein paar Daten zu der installierten Software:
OS: Debian 7
Webserver: nginx 1.2.1
PHP: 5.4.41
SSH: OpenSSH_6.0p1 Debian-4+deb7u1, Standardport!
Die Software ist teilweise ziemlich veraltet und bietet keinen hohen Sicherheitsstandard. Serversicherheit sieht anders aus!
Trackersicherheit
Wie nicht anders zu erwarten gibt es natürlich auch bei Helltorrent eine Schattenseite. Der beste abgesicherte Server nützt nichts, wenn das ausgeführte Script, in diesem Fall der Tracker, löchrig wie ein Schweizer Käse ist. Ich konnte mir spielend leicht Zugang zum SysOp Account verschaffen, weshalb ich dieses mal auch auf Auszüge aus der Datenbank verzichte. Dies wäre auf Dauer doch etwas eintönig. Ich denke die Screens vom SysOp-Account sind für die meisten ohnehin interessanter. :P
http://www.sb-innovation.de/attachme...chmentid=15770
http://www.sb-innovation.de/attachme...chmentid=15771
http://www.sb-innovation.de/attachme...chmentid=15767
http://www.sb-innovation.de/attachme...chmentid=15768
http://www.sb-innovation.de/attachme...chmentid=15769
Fazit
Bei diesem Security-Review gab es weniger technische Details, dafür mehr Text zum Lesen. Leider kann man nicht behaupten, dass sich dies positiv auf mein Fazit auswirken würde. Der Server bietet mit seiner veralteten Software und erreichbarem Portmapper entsprechende Angriffsfläche, der Tracker selber aber noch deutlich mehr. Die Source scheint schlecht gepflegt und durch verschiedene Coder verunstaltet. Dies hat dazu geführt, dass es gravierende Sicherheitslücken in der Tracker-Source gibt, die einem potenziellen Angreifer Zugriff auf sämtliche sensible Daten gewähren. In diesem Sinne noch mal ein Appell an Trackerbetreiber: Lasst um Himmelswillen keine dahergelaufenen Script-Kiddies an eure Tracker! Das Verteilen von urheberrechtlich geschütztem Material stellt in Deutschland einen Strafbestand dar und wenn man potenziellen Ermittlern die Daten auf einem Silbertablett serviert, kann so etwas auch mal ganz schnell nach hinten losgehen. Wäre ich ein findiger Anwalt, wäre ich wahrscheinlich schon ein reicher Mann. :D
Also wie leider nicht anders zu erwarten, auch dieses Mal:
