Newsgroup: it.comp.www.php
Titolo: [forse OT] Stringhe unicode

Salve scusate l'OT ma non sapevo dove altro potevo postare questa cosa...
Sul mio serverino Linux MDK9, sul quale gira apache, postgres, mysql e 
dove solitamente sviluppo in php mi sono attivato uno di quei domini 
tipo "
qualcosa.mine.nu
" che girano le richieste anche su ip dinamici.
fin qui tutto ok.
Però mi sono reso conto che il mio pc (o meglio il mio apache visto che 
la 80 è l'unica porta non firewallata) è sotto "attacco" almeno 3-4 
volte al giorno. Guardando i log noto come sia pieno zeppo di stringhe 
unicode che puntano fuori dalla root del server web, alla ricerca di 
determinati file .exe nell directory "system" di WINNT (mi pare che il 
"famoso" baco di IIS consentisse percorsi relativi).
Siccome mi rendo conto che i 2-3 pseudo-hacker che provano a fare questo 
giochetto sono sempre i soliti vorrei sapere se a partire dai loro ip ho 
modo di rintracciarli, oppure eventualmente come posso "difendermi" dal 
problema (se non chiudendo anche la 80, ma la lascio aperta per 
collaborare con dei colleghi).
Sono certo che apache non presenta bug di questo tipo, ma non è bello 
sentirsi "sotto attacco" così spesso
Grazie a chi potrà rispondermi
ciao
Alesi_27

> Grazie a chi potrŕ rispondermi
Non sono Hacker, č un verme per IIS, mi sembra che si chiama NIMDA. Te ne
puoi fregare tanto su Apache e su Linux non funziona.

 sentirsi "sotto attacco" cosě spesso
Fatti una directory "trappola" con un index.php che recuperi tutti i dati
degli intrusi, e poi ridirigili su 
cia.gov
 (magari aggiungendo alla query
la stringa urlencodata "Sono amico di bin laden e non riuscirete mai a
prendermi").
Poi, in httpd.conf, fatti degli alias per le directory piu' richieste:
   alias /scripts /trap
   alias /c /trap
   alias /winnt /trap
   alias /c/winnt /trap
   alias /c/winnt/system32 /trap
   alias /MSADC /trap
   alias /_vti_bin /trap
   alias /_vti_inf /trap
   alias /_mem_bin /trap
    <Directory "/trap">
        ErrorDocument 404 /trap/index.php
   </Directory>
Una mezza dozzina di intrusi la settimana capitano anche a me, ed il mio
IP non e' quasi mai pubblico.
ciao
Marco
-- 
bernama -pirolino- libero -- it
I soldi non danno la felicita',
se non si conoscono i negozi giusti.
M.B.
+- PHPRndSig 0.02 --------------------------------------------46/71-+

 
LOL grande! :)
sai per caso cosa significa anche:
CONNECT xxx.xxx.xxx.xxx:21 ?
non mi risulta che esiste un "connect" tra i metodi http
grazie,
Ciao
Alesi_27

 non mi risulta che esiste un "connect" tra i metodi http
 
Accesso FTP, ma se non ti serve puoi benissimo chiudere la porta 21.
Vai su 
http://www.insecure.org
 a scaricarti nmap, per sapere quali sono
le altre porte che hai lasciato aperte.
ciao
Marco
-- 
bernama -pirolino- libero -PUNTO- it
Quanti programmatori PHP servono per cambiare una lampadina?
Non e' da cambiare, sul mio computer si accendeva! 
M.B.
+- PHPRndSig 0.02 --------------------------------------------16/72-+

 
eh in realtà nmap ci faccio poco!!
mi servirebbe uno scanner "esterno" alla mia lan :)
alcuni servizi li lascio aperti perchè mi servono ma non sono (o non 
dovrebbero se ho configurato bene iptable) essere visibili dal'esterno!
grazie
ciao
Alesi_27

 dovrebbero se ho configurato bene iptable) essere visibili dal'esterno!
Uh, ieri sera avevo la coda di gente che cercava di aprirmi
/winnt/system/cmd32.exe!
ciao
Marco
-- 
bernama -lumaca- libero -.- it
Le sole cose impossibili sono quelle che non si desiderano veramente.
- Errico Malatesta -
+- PHPRndSig 0.02 --------------------------------------------45/73-+