ugg.li Schnelle Hilfe für schnelle Admins
Nicht immer schön, aber effektiv. Schnelle Hilfe für schnelle Admins.
Für den supergeheimen „xtd-cli-mode“, den man braucht um einen OfficeConnect 1950 vernünftig am CLI (via SSH) zu verwalten, gibt es ein noch viel geheimeres Kennwort. Wir haben keine Ahnung warum.
Das Kennwort für xtd-cli-mode lautet:
foes-bent-pile-atom-shipDieser Beitrag kommt „aus gegeben Anlass“.
Phishing von Microsoft 365 Nutzern oder Google Business-Accounts sind schon länger Teil der normalen Tagesordnung. Herumschlagen mit erfolgreichem Phishing ist für die IT leider ebenfalls normal. Nicht weil die Admins ihr Opsec nicht beherrschen, sondern fast immer wegen stumpfer Benutzer. Zuhr Ehrenrettung: Angriffe werden wirklich immer besser. Angreifer nutzen echte gestohlenen E-Mails, echte Postfächer und hervorragend geschriebene (KI-Unterstütze) Texte.
Es gibt aber auch noch die absolute und totalresistente Stumpfheit. 🦍
Story as usual: Account wurde „gehackt“, vollumfänglich mißbraucht. Viele neue Phishing-Mails wurden verschickt (nach ~200 Mails schritt der Defender ein), OneDrive-Links mit Malware versendet, OneNote-Pages mit Phishing-Formularen veröffentlich, Office-Forms erstellt, also das „übliche“.
Weil der Nutzer einer E-Mail gefolgt war. Im Anhang der Mail ein PDF-Dokument mit einem schwarz-weiss-Screenshot (!) des Microsoft 365 Logins. Er druckte die Mail aus (wie angegeben), füllte diese mit Kugelschreiber aus (wie angegeben) und faxte (!) das Dokument mit seinen Zugangsdaten an eine US-Telefonnummer (wie angegeben) zurück.
Keine 12 Stunden später wurde der Account „gehackt“.
Wir dachten bisher, schon vieles gesehen zu haben. DAS war aber auch uns auch neu 😂
HPE Aruba (managed) Switches sowie HPE ProCurve Switches kommen im Auslieferungszustand ohne NTP-Einstellungen. Genauer gesagt mit inaktivem NTP-Modul. Das Eventlog (log -r) zeigt daher ab stets das „erste“ Datum 01.01.1980 an und die Syslogs sehe immer etwas wirsch aus.
Das hier ist wieder so eine „Notiz an uns selbst“, denn wenn man weiß wo es steht ist das ja schon fast gewusst wie es geht.
Konsole zum Switch öffnen (SSH oder Seriell)
HP-2530-24G# configure
(In den Config-Kontext wechseln)HP-2530-24G(config)# time daylight-time-rule western-europe
(Sommerzeit-Regel aktivieren)HP-2530-24G(config)# time timezone 60
(Die deutsche Zeitzone „MEZ“ ist UTC+60m)HP-2530-24G(config)# timesync ntp
(Zeitsynchronisation auf NTP stellen)HP-2530-24G(config)# ntp unicast
(NTP unicast aktivieren)HP-2530-24G(config)# ntp server 192.168.x.x iburst
(Den NTP-Server konfigurieren und initialen burst aktivieren)HP-2530-24G(config)# ntp enable
(NTP Modul einschalten)HP-2530-24G# write memory
(Konfiguration in die Startup-Config übernehmen)
Das Ergebnis der Einstellungen kann man nach ein paar Sekunden (schlimmstenfalls Minuten) überprüfen.
Zeigt die nun aktuelle Zeit des Gerätes:
HP-2530-24G(config)# show timeZeigt den Status des NTP-Clients:
HP-2530-24G(config)# show ntp statusZeigt die vollständige laufende Konfiguration an:
HP-2530-24G(config)# show running configUnd schon wieder ein Fall von „Notiz an mich selbst“. Jedesmal google ich nach dem Befehl für die Uptime von Switches … vermutlich jetzt nicht mehr. Die „uptime“ ist in der SYSINFO, also in der Lokalen System-Information Tabelle enthalten. Die gibt’s per SNMP und natürlich auch am CLI, also an der Console.
show system-informationUnd so sieht die Ausgabe von system-information aus:
Die „Web Managed“ Smart Switches der OfficeConnect 1920er Serie die die Marketing-Bezeichnung „advanced Smart-Managed“ tragen, sprechen by Default kein SSH und benötigen einen Webbrowser. Dieser darf außerdem kein Chrome sein, weil die Eingabemasken sonst nicht zuverlässig funktionieren.
Das Web GUI ist zwar ansonten halbwegs brauchbar, aber ein Admin würde sich viel eher über ein ganz normales CLI via SSH freuen. Ob die Aktivierung des SSH-Servers einen Einfluss auf die Garantie hat, liegt außerhalb des Zieles dieses Artikels 😉
1. Konfigurationsdatei herunterladen: Device > File Management > „flash:/startup.cfg“ anhaken > Download File
2. Konfigurationsdatei „startup.cfg“ bearbeiten und telnet server enable zur Konfiguration hinzufügen und speichern
3. Diese „neue“ Startup Config hochladen: Device > File Management > Upload File > Flash > Durchsuchen … > Upload (und bestehende startup.cfg überschreiben)
4. Switch neu starten Device > Device Maintenance > Reboot > „Check whether the current configuration is saved“ ausschalten > Reboot
5. Telnet-Verbindung zum Switch öffnen (ich nutze hier PuTTY) und mit den bestehenden Admin-Daten darin anmelden.
6. SSH via CLI einschalten:
enable
configure
crypto key generate rsa
crypto key generate dsa
exit
ip ssh server enable
ip ssh protocol 2
write memory confirm
quit7. Switch neu starten
8. Telnet abschalten, dazu wieder per SSH anmelden und Telnet deaktivieren
enable
no ip telnet server enable
write memory confirm
quit