Dos-Angriff? Strafbar?

[Marcel Miller]

Hallo Forumgemeinde,
ich würde gerne mal eure Meinung zu meinem Problem hören:
Auf meiner Homepage (die im Moment nicht erreichbar ist) gab es im letzten Jahr knapp über 10.000 Besucher.
Gestern im Laufe einer Stunde stieg die Besucherzahl auf über 30.000 Besucher an. Dann hab ich die Domain erstmal mit einem Passwortschutz versehen, damit nicht noch mehr Traffic (den ich bezahlen muss) entsteht.
Dass das alles normale Besucher in dieser einen Stunde waren ist sehr unwarscheinlich, ich glaube darüber müssen wir nicht diskutieren. Ich bin jetzt nichtmal sicher wie ich diesen 'Angriff' nennen kann und ob man es überhaupt einen Angriff nennen kann. Ist das ein DoS - Angriff? Dieser Person hatte ja das Ziel den Server zu überlasten.
Macht sich diese Person dabei Strafbar, oder hab ich gar keine Möglichkeit so etwas zu stoppen? Was meint Ihr dazu?
mfg Marcel

[xwolf]

Tach,

»».. Ich bin jetzt nichtmal sicher wie ich diesen 'Angriff' nennen kann und ob man es überhaupt einen Angriff nennen kann. Ist das ein DoS - Angriff? Dieser Person hatte ja das Ziel den Server zu überlasten.

Ohne genauere daten kann man nicht sagen, ob es wirklich ein Angriff war.
Beispielsweise ist mir gestern ein ähnlicher Fall untergekommen, wo sich dann herausstellte, dass der Webbastler in seinem selbst definierten ErrorDocument auf eine nicht existierende lokale File zugreifen wollte.
Was dann ein Loop ergab und ueber 47000 Zugriffe von nur einem Besucher bewirkte :=)

Es kann halt also auch was anderes sein, als ein echter dDoS .

Macht sich diese Person dabei Strafbar, oder hab ich gar keine Möglichkeit so etwas zu stoppen? Was meint Ihr dazu?

IMHO macht man sich strafbar, wenn man in Absicht so auf einen Server Einfluß nimmt, dass dieser seinen Dienst einstellen muss.

Jedoch muss man hier sehr vorsichtig sein!
Wenn zum Beispiel ein unerfahrener Webmaster einen Dienst (wie formmail) weltweit und jeden zur Verfügung stellt, dann muss der auch fuer die Folgen Mitschuld übernehmen.

Es kommt halt immer auf den Einzelfall an.

Ciao,
 Wolfgang

[Marcel Miller]

Hallo XWolf,

Beispielsweise ist mir gestern ein ähnlicher Fall untergekommen, wo sich dann herausstellte, dass der Webbastler in seinem selbst definierten ErrorDocument auf eine nicht existierende lokale File zugreifen wollte.
Was dann ein Loop ergab und ueber 47000 Zugriffe von nur einem Besucher bewirkte :=)

Ich weiß nur von der Startseite, wie oft auf sie zugegriffen wurde, denn auf ihr ist ein Zugriffszähler. Die Startseite besteht nur aus reinem html und hat ja früher auch immer ohne gut funktioniert. Ich habe gestern auch nichts an Ihr verändert. Desshalb glaube ich weiter, dass wir soche Sachen wie einen Loop ausschließen können.

mfg Marcel

[Bastian T.]

Servus

Ich weiß nur von der Startseite, wie oft auf sie zugegriffen wurde, denn auf ihr ist ein Zugriffszähler. Die Startseite besteht nur aus reinem html und hat ja früher auch immer ohne gut funktioniert. Ich habe gestern auch nichts an Ihr verändert. Desshalb glaube ich weiter, dass wir soche Sachen wie einen Loop ausschließen können.

Also, kann es auch durchaus sein, dass dein Zähler manipuliert wurde, oder? Was sagt denn dein Provider zum Thema Traffic. Du müsstest doch eigentlich ein Server-Protokoll einsehen können? Wenn icht, vielleicht hilft eine nette Mail an den Hostmaster.

bdt
Bastian

[Marcel Miller]

Servus

Also, kann es auch durchaus sein, dass dein Zähler manipuliert wurde, oder? Was sagt denn dein Provider zum Thema Traffic. Du müsstest doch eigentlich ein Server-Protokoll einsehen können? Wenn icht, vielleicht hilft eine nette Mail an den Hostmaster.

Mein Provider (Freenet ;-)) sagt folgendes zum Traffic:
(...)Was die Hackeratacken betreffen, koennen wir das leider nicht nachvollziehen, zumal Sie die Datei oeffentlich und frei zugaenglich dargelegt haben.(...)

Was meinst du mit dem Server-Protokoll? den error-log? die traffikauswertung?

mfg Marcel

[Tom2]

Hi Marcel

Was meinst du mit dem Server-Protokoll? den error-log? die traffikauswertung?

Ehm... ja. Im Moment kann dir alles helfen, was geloggt wurde. Zum Beispiel die...

• Referer, also die Seite, die vor deiner Seite aufgerufen wurde. Wenn's Heise oder so ist, dann weist du warum.

• IP-Adressen, die dir sagen, wer die Besucher waren.

• Uhrzeit. Wenn alles ganz nahe beieinander liegt, so deutet das auf einen automatisierten Angriff(/Loop) hin.

Besorg dir also schnellst möglich die Logfiles und werte diese aus. Falls es sich nur um eine IP-Adresse handelt, so kannst du diese Adresse oder die Adressen dieses Providers temporär aussperren, um dein Angebot weiterhin für andere Surfer verfügbar zu machen.

Mfg, HtH und viel Glück

Tom2

[Marcel Miller]

Hi Tom2

Im error-log steht folgendes
sh: /usr/bin/date: No such file or directory
und das ziemlich oft

Ehm... ja. Im Moment kann dir alles helfen, was geloggt wurde.

• Referer, also die Seite, die vor deiner Seite aufgerufen wurde. Wenn's Heise oder so ist, dann weist du warum.

46008: 99,55%:   111: 43,53%: 320,572: 99,15%: http://www.treffpage.de/
   65:  0,14%:    53: 20,78%:   0,271:  0,08%: http://forum.de.selfhtml.org/
hier die ersten beiden refererplätze des aktuellen Monats.
den referer können wir also ausschließen.

• IP-Adressen, die dir sagen, wer die Besucher waren.

#Anf.:  %Anf.: Seit.:  %Seit:  MBytes: %Bytes: Host
-----: ------: -----: ------: -------: ------: ----
8864: 12,79%:    30:  1,86%: 249,579: 29,86%: 80.145.126.123
 6821:  9,84%:     1:  0,06%: 173,206: 20,72%: 80.145.115.202
 2592:  3,74%:    10:  0,62%:  39,645:  4,74%: 80.145.98.205
 2330:  3,36%:    94:  5,81%:  22,597:  2,70%: 217.89.47.234
das sind die ersten vier plätze des aktuellen monats

• Uhrzeit. Wenn alles ganz nahe beieinander liegt, so deutet das auf einen automatisierten Angriff(/Loop) hin.

ja es liegt alles nahe beinander. am
Datum: #Anf.:  %Anf.: Seit.:  %Seit:  MBytes: %Bytes:
13. Mai 03: 23909: 34,50%:   128:  7,92%: 518,601: 62,05%:
um
Stunde: #Anf.:  %Anf.: Seit.:  %Seit:  MBytes: %Bytes:
    16: 21415: 30,90%:   111:  6,86%: 487,882: 58,38%
Die Angaben in Prozent beziehen sich auf die bisher ausgewerteten Tage im Mai.

Besorg dir also schnellst möglich die Logfiles und werte diese aus. Falls es sich nur um eine IP-Adresse handelt, so kannst du diese Adresse oder die Adressen dieses Providers temporär aussperren, um dein Angebot weiterhin für andere Surfer verfügbar zu machen.

der angreifer hat doch sicher ne dynamische ip oder?
wie kann ich eine ip aussperren? über .htaccess oder kann das nur mein provider?
mfg Marcel

[Andreas Korthaus]

Hi!

wie kann ich eine ip aussperren? über .htaccess oder kann das nur mein provider?

Wenn Dein Provider das zulässt kannst Du das selbst über ein eigene .htaccess, siehe: http://httpd.apache.org/docs/howto/auth.html#allowdeny

Grüße
Andreas

[Michael Schröpl]

Hi Marcel Miller,

Im error-log steht folgendes
sh: /usr/bin/date: No such file or directory
und das ziemlich oft

was hast Du denn für komische Shell-Skripts, die via HTTP aufrufbar sind?
(Oder verwendest Du etwa für date eine Shell statt der Funktions-API der jeweiligen Sprache?)

Viele Grüße
      Michael

[Henryk Plötz]

Moin,

Macht sich diese Person dabei Strafbar, oder hab ich gar keine Möglichkeit so etwas zu stoppen?

IANAL, aber § 303b StGB, "Computersabotage"
(1) Wer eine Datenverarbeitung, die für einen fremden Betrieb,
    ein fremdes Unternehmen oder eine Behörde von wesentlicher
    Bedeutung ist, dadurch stört, daß er
     1. eine Tat nach § 303 a Abs. 1 begeht oder
     2. eine Datenverarbeitungsanlage oder einen Datenträger
        zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,
    wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
(2) Der Versuch ist strafbar.

(§ 303a ist Datenveränderung)

[Ole]

hi Marcel

die erwähnung einer seite bei heise, giga oder anderen populären seiten führt zu einem ähnlichen (wenn nicht soage noch drastischerem) ergebniss ;).

:D

so long
ole
(8-)>

[Marcel Miller]

Hallo,

die erwähnung einer seite bei heise, giga oder anderen populären seiten führt zu einem ähnlichen (wenn nicht soage noch drastischerem) ergebniss ;).

Das stimmt. Eine solche Erwähnung ist mir nicht bekannt.
Außerdem ist dies nicht der erste Angriff dieser Art.
Dazu kommt dass ein solcher 'Angriff' vorher auf einer anderen (ebenfalls betroffenen) Seite im Forum schon angekündigt wurde:
(...)Viel spaß beim "einfach ignorieren", WENN EURE SEITE DOWN IST!Ihr Trottel!Das gilt übrigens für euch alle! Kanne ihr seid als nächstes dran...s Y n 4 P $ ! Z
mfg Marcel

[Armin G.]

Tach auch,

die erwähnung einer seite bei heise, giga oder anderen populären seiten führt zu einem ähnlichen (wenn nicht soage noch drastischerem) ergebniss ;).

Ich dachte immer sowas heisst slashdotten bzw die Seite wurde geslashdottet?

Gruss,
Armin

[Marcel Miller]

Hallo Forumsgemeinde,
glaubt ihr ein socher oder ähnlich formulierter Hinweis würde das Script Kiddie davon abbringen die Seite zu DoSen?

Hallo du,
bitte höre endlich auf diese Seite mit DoS-Angriffen zu atackieren.
Ich würde nur äußerst ungerne eine Anzeige gegen unbekannt erstatten.
Nur zur Info: Die Polizei findet deine Adresse raus und steht vor deiner Türe, bevor du auch nur daran denkst deinen Computer zu formatieren. Und Computersabotage ist kein Kavaliersdelikt. Als überleg dir gut, ob du dich morgen vor Gericht rechtfertigen willst.
Hier noch die Rechtsgrundlage dazu:
IANAL, aber § 303b StGB, "Computersabotage"
(1) Wer eine Datenverarbeitung, die für einen fremden Betrieb,
    ein fremdes Unternehmen oder eine Behörde von wesentlicher
    Bedeutung ist, dadurch stört, daß er
     1. eine Tat nach § 303 a Abs. 1 begeht oder
     2. eine Datenverarbeitungsanlage oder einen Datenträger
        zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert,
    wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
(2) Der Versuch ist strafbar.

(§ 303a ist Datenveränderung)
mfg Marcel

[Ole]

Hallo Forumsgemeinde,
glaubt ihr ein socher oder ähnlich formulierter Hinweis würde das Script Kiddie davon abbringen die Seite zu DoSen?

ich denke nicht, die werden einmal kurz lachen und weitermachen.
Sorry.

mein tip: nimm die seite für ein paar tage vom netz, das legt sich dann schon.

so long
ole
(8-)>