In diesem Artikel beschreibe ich die Analyse der E-Mail-Header, die Identifikation eines sogenannten E-Mail-Sturms sowie die Maßnahmen, mit denen sich der Empfang weiterer Nachrichten dieser Mailingliste verhindern ließ. E-Mail-Stürme sind selten, aber wenn sie auftreten, können sie Postfächer fluten, Systeme belasten und im schlimmsten Fall produktive Arbeit lahmlegen.

Die initiale E-Mail

Beim Blick auf die E-Mail-Header fällt auf, dass die Nachricht nicht direkt vom Autohändler an mich sondern eine Mail-Gruppe gesendet wird. Eine genauere Analyse der Header über mxtoolbox.com zeigt jedoch schnell, dass die Nachricht technisch korrekt zugestellt wurde und keine Anzeichen für Phishing oder Schadsoftware enthält.

Obwohl die Mail inhaltlich keine Anzeichen schadhaften Zweckes hat und auch nicht nach klassischem Spam aussieht, sind dennoch alle klassischen Indikatoren einer Spam-Mail oder eines nicht-regelkonform konfigurierten Mail-Dienstes gegeben wie das folgende Bild zeigt.

Anhand der Received-Header lässt sich nachvollziehen, welchen Weg die E-Mail vom ursprünglichen Absender bis in mein Postfach genommen hat. In E-Mail-Analysen, wie vom Email Header Analyzer, wird häufig eine Tabelle erstellt, die jeden sogenannten Übergabepunkt (Hop) einer E-Mail auflistet. Die Analyse liefert neben der folgenden Tabelle auch noch Informationen zu Blacklist-Einträgen zu den jeweiligen Hops.

In den Headern können wir weiterhin die Details zu der Mailing-Liste bzw. Google Gruppe finden.

Generell wirkt die Nachricht daher auf mich wie klassischer Spam:

• Eine Antwort auf eine Nachricht, die ich nie versendet habe.
• Empfänger- und Absenderadresse sowie Reply-to-Adresse (Antwort an) passen nicht zum Inhalt.
• Es wurde eine mir unbekannte Google Group bzw. Mailingliste mit der Adresse 7b@gfx4mcd.com verwendet.

Kurze Zeit später trafen weitere Nachrichten ein. Zahlreiche Empfänger antworteten auf die ursprüngliche E-Mail und fragten, warum sie diese Nachricht erhalten hatten oder baten darum, aus der Liste entfernt zu werden.

Damit begann ein klassischer E-Mail-Sturm.

Beschreibung eines E-Mail-Sturms

Ein E-Mail-Sturm (engl. Mail-Storm, Reply-Storm oder Reply-All-Storm) entsteht, wenn eine Nachricht an einen großen Verteiler oder eine Mailingliste versendet wird und zahlreiche Empfänger auf die E-Mail antworten. Dabei erfolgt die Antwort entweder über die konfigurierte Reply-To-Adresse oder durch die Mail-Funktion Allen antworten.

Jede Antwort wird anschließend erneut an alle Mitglieder des Verteilers zugestellt. Reagieren weitere Empfänger ebenfalls auf die Nachricht, entsteht innerhalb kurzer Zeit eine regelrechte Nachrichtenlawine. Aus einer einzelnen E-Mail können dadurch dutzende, hunderte oder sogar tausende weitere Nachrichten entstehen.

Ursachen und Symptome

In den meisten Fällen geschieht so ein Sturm unbeabsichtigt.

Häufige Ursachen sind:

• Versehentliches Antworten an alle Empfänger
• Fehlkonfigurierte Mailinglisten oder Verteiler
• Import alter oder ungepflegter Verteilerlisten
• Organisatorische Fehler bei der Nutzung von Verteilergruppen
• Absichtlicher Missbrauch zur Störung oder Belästigung

Typischerweise erkennt man einen laufenden E-Mail-Sturm an einer Vielzahl von Antworten mit nahezu identischem Inhalt.

Häufige Beispiele sind:

• „Bitte austragen“
• „Warum bekomme ich diese E-Mail?“
• „Hören Sie auf, mir E-Mails zu schicken“

Das eigentliche Problem besteht darin, dass jede dieser Antworten erneut an sämtliche Teilnehmer des Verteilers gesendet wird. Dadurch verstärken die Empfänger den Sturm unbeabsichtigt selbst.

Eskalation durch automatische Systeme

Besonders problematisch wird es, wenn neben menschlichen Empfängern auch automatisierte Systeme auf die Nachricht reagieren.

Dazu gehören beispielsweise:

• Automatische Abwesenheitsnotizen
• Ticketsysteme
• Monitoring- und Alarmierungssysteme
• Weitere Mailinglisten oder Verteiler
• Automatisierte Workflows und Benachrichtigungssysteme

Antworten solche Systeme ebenfalls an den Verteiler, kann sich die Anzahl der Nachrichten innerhalb kürzester Zeit vervielfachen. In ungünstigen Fällen entstehen dabei Endlosschleifen oder massive Mailfluten, die Postfächer, Mailserver und Helpdesks erheblich belasten können.

Je größer der Verteiler und je mehr automatisierte Systeme beteiligt sind, desto schneller kann sich ein einzelner Fehler zu einem großflächigen E-Mail-Sturm entwickeln.

Böswillig ausgelöste E-Mail-Stürme

Während die meisten E-Mail-Stürme unbeabsichtigt entstehen, können solche Situationen auch gezielt provoziert werden. In diesem Fall konnten wir klar davon ausgehen, dass es sich um absichtlichen Missbrauch handelt, da die E-Mail-Adresse von mir nur auf einer einzelnen Plattform verwendet wurde, welche vor längerer Zeit ein Datenleck hatte.

Ziel und Zweck dieser Maßnahme könnten sein:

• Gezielte Belästigung von Personen oder Organisationen durch Nachrichtenfluten.
• Störung des normalen E-Mail-Verkehrs und Überlastung von Systemen und Personen.
• Analyse der aktiv genutzten E-Mail-Adressen durch Überwachung, wer darauf reagiert.

Maßnahmen zur Vermeidung

Sobald das oben genannte Problem erkannt wurde, sollte man möglichst wenig zur weiteren Eskalation beitragen. Daher ist es oberstes Ziel nicht selbst auf „Allen antworten“ klicken.

Generell sind folgende Maßnahmen zielführend:

• Mailingliste blockieren
• Filterregeln erstellen
• Austragen
• Spam melden
• Administrator kontaktieren

Da es sich in diesem Fall um eine mutwillige Konfiguration der Liste handelt, ist es leider nicht hilfreich den Administrator zu kontaktieren oder Spam zu melden. Es bleibt daher nur der Weg sich manuell aus der Mailing-Liste auszutragen. Das Risiko, dass der Verursacher nun Kenntnis darüber hat, dass diese Mail-Adresse auch existiert, ist für mich tragbar in dem Fall.

Daher senden wir eine E-Mail an die Unsubscribe-Adresse aus dem Attribut List-Unsubscribe. Der Inhalt der Nachricht ist in der Regel egal, oft reicht sogar eine leere E-Mail.

googlegroups-manage+3090089275+unsubscribe@googlegroups.com

Quellen

• wikipedia.org – Email storm
• mxtoolbox.com – Email Header Analyzer, RFC822 Parser
• twilio.com – List-Unsubscribe Header: What It Is & How to Use It | Twilio

Der Beitrag Erkennung und Vermeidung eines E-Mail-Sturms (User) erschien zuerst auf Maximilian Krieg.

Ein direkter Download der Datei „mypdf.pdf“ unter Angabe des Pfades ist nicht möglich, da dies vom Webserver scheinbar selbst unterbunden wird. Der Quellcode der Webseite lautet wie folgt:

<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width,initial-scale=1,maximum-scale=1">
<title>Title</title>
<script src="pdf.viewer2.js"></script>
<link href="//mydata.com/data/mypdf.pdf" rel="preconnect">
<link href="//mydata.com/data/mypdf.pdf" rel="dns-prefetch">
</head>

Nach kurzer Recherche im Internet fand ich den Hinweis, dass die relevanten Befehle des PDF-Readers in der Regel weiterhin vorhanden sind und daher direkt über die Konsole des Browsers gesteuert werden können. Dabei wird das für den Download relevante Klick-Event des ausgeblendeten Download-Buttons ausgelöst. Um dies zu erreichen, muss der folgende Befehl ausgeführt werden:

document.getElementById('download').click()

Nach Ausführung des Befehls startet der Download der PDF-Datei. Es kann jedoch notwendig sein, wenn der PDF-Reader in einem iFrame eingebettet ist, dass die Webseite des iFrame vorher direkt aufgerufen werden muss.

Der Beitrag Download von PDF-Dateien aus Viewer.js erschien zuerst auf Maximilian Krieg.

Ansicht der Stoppuhr

Wie in der folgenden Abbildung zu sehen ist, habe ich auf die Ausgabe der exakten Uhrzeit verzichtet, da diese primär zur Überprüfung in der vorherigen Variante genutzt wurde.

In Version 2 wird lediglich die summierte Zeit angezeigt und je nach aktuellem Zustand der zur Verfügung stehende Button.

Programmcode

<!DOCTYPE html>
<html>
<title>Stoppuhr</title>
<style>
    .myWatch {
        border: 1px solid black;
        margin: 1rem;
        padding: 1rem;
        background-color: grey;
        width: 25rem
    }
</style>

<body>
    <script>
        var runTime = 0;
        var startTime = 0;

        function addItem(varText) {
            var entry = document.createElement('li');
            entry.appendChild(document.createTextNode(varText));
            document.getElementById('myLog').appendChild(entry);
        }

        function init() {
            document.getElementById("btn_pause").style.display = "none";
        }

        function startWatch() {
            startTime = new Date();
            document.getElementById("btn_pause").style.display = 'block';
            document.getElementById("btn_start").style.display = 'none';
        }

        function pause() {
            runTime = runTime + new Date().getTime() - startTime.getTime();
            addItem("Laufzeit: " + runTime / 1000 + "s");
            document.getElementById("btn_start").style.display = 'block';
            document.getElementById("btn_pause").style.display = 'none';
        }
    </script>
    <div class="myWatch">
        <h1>Stoppuhr</h1>
        <input name="btn_start" id="btn_start" onclick="startWatch();" type="button" value="Start" />
        <input name="btn_pause" id="btn_pause" onclick="pause();" type="button" value="Pause" />
        <ol id="myLog"></ol>
    </div>
    <script>
        init();
    </script>
</body>

</html>

Der Beitrag Simple Stoppuhr mit JavaScript und HTML (V2) erschien zuerst auf Maximilian Krieg.

Symptom

Der SSL Server Test von Qualys berichtet nach der Konfiguration von HSTS, dass der HSTS-Header ungültig sei.

Abrufen des HTTP-Headers mit cURL

Mithilfe des Kommandozeilenprogramms cURL kann man Dateien von oder zu einem Server zu übertragen. Ruft man es mit der Option -I auf, kann man damit unter anderem den HTTP-Header einer Webseite abrufen. Eine detailierte Beschreibung dieser Funktionalität liefert die Seite haxx.se:

(HTTP/FTP/FILE) Fetch the HTTP-header only! HTTP-servers feature the command HEAD which this uses to get nothing but the header of a document. When used on an FTP or FILE file, curl displays the file size and last modification time only.https://curl.haxx.se/docs/manpage.html

Der Aufruf dieses Befehls liefert beispielsweise für meine Seite den folgenden Rückgabewert:

$ curl -I https://maximiliankrieg.de
HTTP/1.1 200 OK
Strict-Transport-Security: max-age=63072000; includeSubdomains; preload
X-Powered-By: PHP/5.5.9-1ubuntu4.19
Set-Cookie: 8b4cc86896af6ff21730a4c7eb47cfa6=gu5h8l90p4il834avfc9v95s23; path=/; secure; HttpOnly
P3P: CP="NOI ADM DEV PSAi COM NAV OUR OTRo STP IND DEM"
Content-Type: text/html; charset=utf-8
Expires: Wed, 17 Aug 2005 00:00:00 GMT
Last-Modified: Mon, 12 Sep 2016 10:33:17 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Date: Mon, 12 Sep 2016 10:33:17 GMT
Server: lighttpd/1.4.33

Die Zeile mit Strict-Transport-Security enthält die für uns interessanten Informationen. Möchte man sich ausschließlich diese Zeile anzeigen lassen, kann man mithilfe von grep den Rückgabewert nochmals durchsuchen und filtern. Der vollständige Befehl und der reduzierte Rückgabewert sehen wie folgt aus:

$ curl -s -D- https://maximiliankrieg.de | grep Strict
Strict-Transport-Security: max-age=63072000; includeSubdomains; preload

Problem und Lösung

Der obenstehende Befehl wurde auf den betroffenen Webserver angewendet und hat dabei den Rückgabewert Strict-Transport-Security: "max-age=63072000" geliefert. Abweichend zu meinem Webserver sind Anführungszeichen um das Attribut max-age herum gesetzt. Nachdem wir die überflüssigen Anführungszeichen aus der Konfiguration entfernt haben, hat der SSL Server Test den Header korrekt eingelesen und hat schlussendlich in der Bewertung A+ resultiert.

Der Beitrag Auslesen von HSTS-Informationen aus dem HTTP-Header erschien zuerst auf Maximilian Krieg.

Failed to deploy OVF package: The task was canceled by a user.

Auch eine wiederholte Initialisierung des Imports schlägt bei dieser Fehlermeldung konsequent fehl. In diesem Beitrag halte ich die notwendigen Schritte fest, um die exportierten Vorlagen importierbar zu machen.

Anleitung

In dem Artikel ESXi 5.1 : Fixing ‘Failed to deploy OVF package: The task was canceled by a user.’ von Luke Barklimore wird die selbe Fehlermeldung vom ESXi 5.1 beschrieben und ein manueller Weg genannt diesen Fehler zu beheben. Ich habe mich im Anschluss an seine Anleitung gehalten und konnte im ESXi 6.0 meine zuvor exportierten Vorlagen erfolgreich reimportieren. Die folgenden sechs Schritte fassen die Maßnahmen zusammen, ohne auf die Ursache des Problems genauer einzugehen.

Wie kann ich eine zuvor exportiere .ova-Datei im ESXi 6.0 reimportieren?

1. Die .ova-Dateiendung in .tar umbenennen und das Archiv mit einem geeigneten Packprogramm, wie 7-Zip, entpacken
2. Es werden drei Dateien mit den Endungen .ovf, .vmdk und .mf extrahiert, wobei letztere gelöscht werden muss
3. Die .ovf-Datei mit einem Texteditor, wie Notepad oder Notepad++, öffnen, um in der folgenden Textzeile .iso durch .atapi zu ersetzen: <rasd:ResourceSubType>vmware.cdrom.iso</rasd:ResourceSubType>
4. Die veränderte .ovf-Datei und die .vmdk-Datei müssen nun wieder in ein .tar-Archiv gepackt werden
5. Abschließend muss dieses mit der ursprünglichen .ova-Dateiendung versehen werden
6. Die .ova-Datei kann nun im ESXi 6.0 importiert werden

Vielen Dank an dieser Stelle an Luke Barklimore, der mir viel Mühe abgenommen hat, indem er sein Wissen geteilt hat!

Der Beitrag Reimport von .ova-Vorlagen in ESXi 6.0 schlägt fehl erschien zuerst auf Maximilian Krieg.

Die folgende Abbildung zeigt die exemplarische Anwendung von Start, Pause, Start, Pause und Ende. Danach beschreibe ich die grundlegenden Ideen hinter meiner Implementierung und den vollständigen Code.

Im folgenden Listing ist der vereinfachte HTML-Code und das entsprechende JavaScript aufgeführt. Mit einer Start-Pause-Funktion ist es möglich Unterbrechungen abzubilden. Die Steuerelemente werden dynamisch aktiviert und deaktiviert. Dies geschieht in Abhängigkeit der jeweiligen Zustände. Da das vordefinierte Formular ein paar technische Herausforderungen beinhaltet, habe ich mich gegen eine visuelle Repräsentation mit automatischer Aktualisierung entschieden. Stattdessen werden Zeitstempel gespeichert und angezeigt, um zeitliche Differenzen abzubilden.

<!DOCTYPE html>
<html>
   <title>Stoppuhr</title>
   <body>
      <script>
         function addItem(varText) {
            var entry = document.createElement('li');
            entry.appendChild(document.createTextNode(varText));
            document.getElementById('myLog').appendChild(entry);
         }

         function disableButtons(bStart, bPause, bEnd, bRestart) {
            document.getElementById("btn_start").disabled = bStart;
            document.getElementById("btn_pause").disabled = bPause;
            document.getElementById("btn_end").disabled = bEnd;
            document.getElementById("btn_restart").disabled = bRestart;
         }

         function restart() {
            runTime = 0;
            start();
         }

         function start() {
            startTime = new Date();
            addItem("Start:" + new Date());
            disableButtons(true, false, false, true);
			runState = 0;
         }

         function pause() {
			
            runTime = runTime + new Date().getTime() - startTime.getTime();
            addItem("Pause: " + new Date());
            addItem("Laufzeit: " + runTime / 1000 + "s");
            disableButtons(false, true, false, true);
			runState = 1;
         }

         function end() {
		    if (runState==0){
               runTime = runTime + new Date().getTime() - startTime.getTime()};
			
			if (runState==1){
			   //
			}
			   
            addItem("Ende: " + new Date());
            addItem("Laufzeit: " + runTime / 1000 + "s bzw. " + runTime / 60000 + "m");
            addItem("Aufgerundet: " + Math.ceil(runTime / 60000) + "m");
            disableButtons(true, true, true, false);
			runState=2;
         }
      </script>
      <h1>Laufzeit</h1>
      <ol id="myLog"></ol>
      <input name="btn_start" id="btn_start" onclick="start();" type="button" value="Start" />
      <input name="btn_pause" id="btn_pause" onclick="pause();" type="button" value="Pause" />
      <input name="btn_end" id="btn_end" onclick="end();" type="button" value="Ende" />
      <input name="btn_restart" id="btn_restart" onclick="restart();" type="button" value="Restart" />
      <script>
         var runTime;
         var startTime;
         var runState;
         restart();
      </script>
   </body>
</html>

Die folgende Abbildung zeigt die definierten Zustände meiner Stoppuhr. An dieser Stelle ist zu sagen, dass die Implementierung der Funktionen sicherlich besser machbar ist, aber für die definierten Anforderungen ausreichend ist.

Der Beitrag Simple Stoppuhr mit JavaScript und HTML erschien zuerst auf Maximilian Krieg.

Kurzbeschreibung

Was ist der Unterschied?

Die Priorität ist ein ganzzahliger Wert zwischen 0 und 65535. Je niedriger der Wert, desto höher ist die Priorität. Wenn mehrere Hosts den selben Dienst anbieten, entscheidet die Priorität, welcher Host an die DNS-Clients zurückgegeben wird. Das Gewicht ist ebenfalls ein ganzzahliger Wert in gleichen Wertebereich. Im Gegensatz dazu dient das Gewicht aber der Lastverteilung zwischen Hosts mit gleicher Priorität. Hat ein Dienst-Host das Gewicht 3 und ein zweiter Host das Gewicht 2, so wird durchschnittlich der erste Host mit einer Wahrscheinlichkeit von \(\frac{3}{(2+3)} = \frac{3}{5} = 60\%\) genutzt.

Detailierte Beschreibung

Priorität: Eine Zahl zwischen 0 und 65535, die die Priorität dieses Eintrags für den Host angibt, der unter Host, der diesen Dienst anbietet angegeben ist.

Priorität gibt die Priorität dieses Hosts in Bezug auf die anderen Hosts in dieser Domäne an, die denselben Dienst anbieten und durch andere Dienstidentifizierungs-Ressourceneinträge (SRV) angegeben werden. Niedrigere Zahlen bedeuten eine höhere Priorität. Die höchste Priorität hat ein Host (der den im Eintrag angegebenen Dienst bereitstellt) mit einer Priorität von 0.

Wenn für einen Dienst mehrere Dienstidentifizierungs-Ressourceneinträge (SRV) vorhanden sind, wird zuerst der Host mit der niedrigsten Prioritätszahl an die DNS-Clients (Domain Name System) weitergegeben. Wenn dieser Host fehlschlägt oder nicht erreichbar ist, wird der im SRV-Eintrag angegebene Host mit der nächsthöheren Prioritätszahl verwendet.

Wenn zwei oder mehrere Hosts im Dienstidentifizierungs-Ressourceneintrag (SRV) für einen bestimmten Dienst dieselbe Prioritätszahl aufweisen, können die DNS-Clients diese Hosts in zufälliger Reihenfolge verwenden.https://technet.microsoft.com/de-de/library/cc742513.aspx

Gewichtung: Eine Zahl zwischen 1 und 65535, die als Lastenausgleichsverfahren verwendet wird. Wenn mehrere Ziel-SRV-Hosts für den Diensttyp zur Auswahl stehen (angegeben unter Dienst), die denselben Wert für Priorität aufweisen, können Sie diese Feld verwenden, um eine Gewichtung für bestimmte Hosts anzugeben. Wenn mehrere Hosts über dieselbe Priorität verfügen, werden die im SRV-Eintrag angegebenen Hosts, die einen höheren Gewichtungswert aufweisen (wird hier eingegeben), als erstes an die Auflösungsclients in SRV-Abfrageergebnissen zurückgegeben.

Verwenden Sie den Wert 0 (keine Gewichtung), wenn kein Lastenausgleich erforderlich ist. Dadurch wird die Verarbeitungszeit für SRV-Abfragen verkürzt, und die SRV-Ressourceneinträge sind leichter lesbar.https://technet.microsoft.com/de-de/library/cc742513.aspx

Der Beitrag Priorität und Gewichtung bei Service Resource Records erschien zuerst auf Maximilian Krieg.