Newsgroup: it.comp.os.linux.sys
Titolo: Riempimento dei log con default.ida e con /script/root.exe

Da un po di tempo mi si stanno riempendo i log di codici di errore 404
perché vengono richiesti i file default.ida e /script/root.exe o
/script/cmd.exe ecc.
Qualcuno sa dirmi cosa si può fare per evitare tutto ciò?
Cerbo ICQ 15199946

 writes:

Ben poco, sono vari worms che cercano depolezze di IIS.
-- 
Stefano - Hodie decimo tertio Kalendas Novembres MMI est

In un messaggio del Wed, 19 Sep 2001 12:59:19 +0200 Cerbo scriveva:

Se e' un Apache puoi bellamente ignorare, si tratta del worm Code Red
che va in cerca di IIS bucati. In quel caso oltre logorotate potresti
mettere su un cronjob che fa il giro di quei log ogni notte e con sed
tromba via quelle righe su un temporaneo poi riscrive il file
originario.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Cerbo ICQ 15199946

 wrote:

Scrivere a tutti gli utenti windows di aprire una finestra "prompt di msdos" e
scrivere:
format c:
:)
-- 
--------------------------
Francesco Tosi
frances...@seabone.net
frt...@tiscalinet.it
ICQ: 30640076
--------------------------

 
Un'altra possibilita` e` di creare quei file con lunghezza 0 e lasciare
che Apache soddisfi quelle richieste: costa meno spedire un file lungo
zero che una pagina di errore 404, non ti intasa il log, e non credo
costituisca un "pericolo" per la sicurezza della tua linux-box.
Ad essere pignoli poi esiste questo modulo per Apache che come riceve un
tentativo dal codered invia immediatamente una mail al sysadmin del
server da cui e' arrivato lo scan avvertendolo dell'infezione (te lo
segnalo ma io personalmente non l'ho provato):
http://www.geocrawler.com/lists/3/web/182/0/6332554
HTH
-- 
Ciao,  |     Gott weiss ich will kein Engel sein
Matteo |                     -- Rammstein, Engel

 zero che una pagina di errore 404, non ti intasa il log, e non credo
Questo modulo e' interessante, lo segnalero' su it.comp.sicurezza.virus
perche' sono in parecchi, possessori di Apache, che si ritrovano chili
di schifezze inutili nei log.


 di schifezze inutili nei log.
Hai presente quanto traffico genererebbe un azione di questo genere? Senza
contare il traffico dovuto ai bounce: non ho visto cosa fa il modulo ma
immagino che componga un destinatario inserendo qulcosa come "webmaster"
davanti al dominio di provenienza della richiesta (e spero che lo faccia
solo se trova un record MX) ... ora, guarda quanti domini non hanno tra gli
indirizzi validi webmaster@dominio e stima quale potrebbe essere il traffico
di ritorno (peraltro inutile).
Inoltre ieri mi sono tolto lo sfizio di dare un occhiata a 5 delle macchine
che mi inviavanso spazzatura: 2 erano installazioni di default di IIS 4
(sai: la schermata bianca e nera dove se ne decantano le lodi) e 2 erano
macchine di dipartimenti universitari con pagine che avevano 1998 come
ultimo aggiornamento (roba dimenticata in qualche laboratorio dall'ultimo
tesista e su cui nessuno più ha messo le mani: ho presente come funzionano
queste cose): non penso che in questi casi l'e-mail serva a qualcosa.
Non ho capito bene quale sia questo grande problema di queste entry nei log:
se proprio sono così ripugnanti si levano con un semplice grep.
Inoltre dopo 2350 accessi di Nimda e circa altrettanti di Code Red il mio
log occupa circa lo 0,2% dello spazio che ha a disposizione sulla partizione
e non penso che per voi sia molto diverso.
Fabio
PS: avrei voluto risponderti su icsv ma alla fine non hai postato, o sbaglio
:)

 :)
No problemo, ho risposto qui :-)


> Oppure sed che permette di fare operazioni ancora piu' sopraffine..
Non uso la ferrari per andare a fare la spesa :))
Fabio

 Non uso la ferrari per andare a fare la spesa :))
sed e' una ferrari con cui andare a fare la spesa oppure il TIR con cui
puoi fare il trasloco di un intero stabile.. basta saperlo guidare :)


 puoi fare il trasloco di un intero stabile.. basta saperlo guidare :)
Mmm.. allora dovrei smetterla di guidarlo come una 500 primo modello[1]
...
Henryx
[1] Sai, lo uso soprattutto per rinominare file insieme a for, echo e mv
(una volta lo usai in modo piu` impegnativo, ma era piu` per gioco che
per utilita`) ;)
-- 
Questo senso di approssimazione che pervade i windowsFan a volte mi
sconforta (V. Valvano)

 per utilita`) ;)
Anche io ma sono le cose piu' semplici che faccio, tzk principiante ;-)
