Newsgroup: it.comp.sicurezza.varie
Titolo: Log di sistema

Ciao,
Mi sono venuti alcuni dubbi nel leggere i file di log del server che
usiamo in ufficio.
Si tratta di un server Linux che usiamo in locale principalmente per
scambiarci dati tra Mac e PC (con FTP) e per testare le pagine web su
diverse macchine utilizzando il web server Apache.
Di recente ho configurato il router (3Com OCR812) in modo da poter
avere accesso anche da casa, aprendo le porte 80, 20 e 21 e
reindirizzandole verso l'IP del server.
I dubbi mi sono venuti nel leggere i file di log del server quando
volevo capire perche' non riuscissi a connettermi.
Il mio problema l'ho poi risolto, ma ho notato alcuni accessi FTP come
"anonymous" della durata di pochi secondi provenienti da vari IP, ne
ho cercato l'origine per alcuni e sembrano essere provider esteri.
Secondo voi e' normale? Dovrei preoccuparmi?
Inoltre, ho provato a scaricare altri log dal server e ho notato nel
log dell'HTTP parecchie righe come queste (salto la data e l'IP):
"GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 283
"GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404
297
Ma non esistono file simili su un server LINUX!
Cercano forse i bachi di IIS?
A parte questi "attacchi" che nella peggiore delle ipotesi, potrei
sempre risolvere chiudendo le porte, dato che non c'e' una necessita'
assoluta che io disponga dell'accesso dall'esterno (posso sempre
tornare a trafficare con gli Zip), volevo sapere se c'e' qualche guida
in Rete per comprendere il significato di cio' che si trova in questi
file, che possa servirmi anche per gestire il funzionamento locale (e
anche per soddisfare la mia curiosita'!)
grazie!
-- 
Sayonara
Massy

 Cercano forse i bachi di IIS?
Bingo ! Stavo per risponderti di restringere gli accessi FTP solamente a
quegli IP che tu sai essere autorizzati ad accedere al sito FTP (e
comunque farlo non sarebbe una cattiva idea invece di lasciare aperto
l'accesso anonymous a chiunque) ma quando ho visto le righe sopra non ci
sno stati piu' dubbi. Si, cercano o pensano di avere a che fare con un
IIS quindi nulla di cui preoccuparti se non per lo spazio disco che i
log riempiranno inutilmente.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 log dell'HTTP parecchie righe come queste (salto la data e l'IP):
Si': o e' uno dei ben noti worm IIS o e' qualcuno che neanche
si degna di verificare prima che server ha di fronte prima di
tentare un exploit.
-- 
Inviato il mar 23 ott 2001 12:43:37 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/

 ho cercato l'origine per alcuni e sembrano essere provider esteri.
Per quanto riguarda gli accessi HTTP di hanno già risposto.
Gli accessi a FTP sono quasi sicuramente scansioni alla ricerca di server sui
cui poter "scrivere".
Se guardi i log de lserver ftp, oltre che quelli di sistema, probabilmente
troverai tentativi di uploadare dei file con lo scopo di:
1) verificare se è possibile fare l'upload con l'utente anonymous;
2) verificare la banda passante a disposzione del server.
Se il tuo server pare buono verrà utilizzato dai "pirati del warez" per fare
un sito warez.
Verifica, quindi, che anonymous non abbia accesso in scrittura su nessuna dir
e che, nel caso, non siano già stati uploadati dei dati. Di solito i file
vengono messi in cartelle nascoste e quindi "ls -la".
Fabio

 297
Si, ma tu hai apache e gli scherzetti per IIS te li mangi a merenda!
-- 
Saluti
Leonardo
Per rispondermi in privato: 
leon...@firenze.linux.it

Diario del capitano: data astrale 23 Oct 2001 13:38:20 GMT, un
messaggio proveniente da Leonardo Giacomelli ...
Ringrazio tutti per le risposte.
-- 
Sayonara
Massy