Newsgroup: it.comp.sicurezza.varie
Titolo: tentativi di intrusione?

Scusate, una domanda forse elementare... ho attivato Apache da pochi
giorni. Analizzando il registro delle connessioni, trovo ripetuti tentativi
di accesso del tipo seguente:
"GET
/scripts/..%252f../winnt/system32/cmd.exe?/
"GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0"
"GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0"
Mi pare di capire che
qualcuno con intenzioni poco "pulite" speri di incontrare un server
Microsoft che gira su NT.... che per fortuna non e'... sbaglio? Dovrei
preoccuparmi (giro Apache su linux Mandrake 8.1) ?
Grazie in anticipo!
Marcp
--------------------------------
Inviato via 
http://usenet.iol.it

 /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0"
Lascia che il tuo Apache se la rida e metti questo nel crontab:
*/15 8-18 * * 1-6 /root/logClean
ove logClean puo' essere qualcosa del tipo
#!/bin/sh
cat /var/log/apache/access.log | sed '/cmd\.exe/d' >tempfile && mv -f \
	tempfile access.log
cosi' non vedrai nemmeno tutta quella penosa fuffa redmondiana nei tuoi
logs.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

logs.
Mille grazie! Provvedero'.... tra l'altro, per chi usa Mandrake
come me, segnalo che Mdk ha appena aperto un sito su problemi di sicurezza
www.mandrakesecure.net
Ciao,
Marco


 Microsoft che gira su NT.... che per fortuna non e'... sbaglio?
Esatto. Per la precisione, č un(a serie di) virus che si trasmette 
tramite falle note (e che la maggior parte degli, ehm ehm ehm, 
amministratori non s'č dato pena di rattoppare) di alcuni servizi 
inclusi in Microsoft IIS (come il servizio di indicizzazione)
Fregatene
Al piů, se vuoi far qualcosa, installa Samba, metti una regoletta al 
firewall per consentire connessioni UDP in uscita sulla epmap, e 
qualsiasi connessione UDP in entrata, e agli URL di cui sopra metti uno 
script che con smbclient -m spara avvertimenti all'IP richiedente, del 
tipo "a' coso! c'hai un viruse! curati!" (magari qualcosa di piů 
costruttivo)
Altra soluzione, meno diretta ed efficace ma molto piů pulita in fatto 
di configurazione necessaria, sarebbe uno script che fa un WHOIS sugli 
IP delle macchine infette, e informa via mail l'amministratore della 
rete che una macchina loro o di uno dei loro utenti č infetta
Esistono anche script per riavviare la macchina infetta, sfruttando le 
backdoor remote installate dal virus stesso. Dato che la maggior parte 
di questi virus risiede in memoria, il riavvio in genere aggiusta tutto, 
almeno fino a che il server non torna online e viene infettato 
nuovamente
-- 
Nato nel vizio, morto nel supplizio
Nato nel peccato, ad entrare sia invitato

	tempfile access.log
Io migliorerei:
	sed '/winnt/d' < /var/log/apache/access.log > /var/log/apache/x \
	&& cat /var/log/apache/x > /var/log/apache/access.log \
	&& rm /var/log/apache/x
Questo non crea l'access.log sbagliato ;-), carica meno il sistema, e
lascia i permessi giusti al file di log :-)
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 lascia i permessi giusti al file di log :-)
Sbagliato in che senso?


Sbagliato in che senso?
Ti sei lasciato dietro il path. Il secondo access.log te lo creerebbe in
/tmp, con i permessi impostati da crontab.
Anche Omero ogni tanto dormicchia ;-)


 Anche Omero ogni tanto dormicchia ;-)
E dire che gia' soffro di mio, di Omeride ;-)
