Newsgroup: it.comp.os.linux.sys
Titolo: Apache : interpretazione log (access.log)

Devo preoccuparmi per questi log?
si tratta di apache2 su woody
218.246.188.xx - - [14/Dec/2005:16:47:10 +0100] "GET 
/scripts/root.exe?/c+dir HTTP/1.0" 404 307 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:11 +0100] "GET 
/MSADC/root.exe?/c+dir HTTP/1.0" 404 305 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:12 +0100] "GET 
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:14 +0100] "GET 
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:15 +0100] "GET 
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 329 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:16 +0100] "GET 
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dirHTTP/1.0" 
404 346 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:17 +0100] "GET 
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dirHTTP/1.0" 
404 346 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:18 +0100] "GET 
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir 
HTTP/1.0" 404 362 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:19 +0100] "GET 
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 328 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:20 +0100] "GET 
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 328 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:25 +0100] "GET 
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 328 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:26 +0100] "GET 
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 328 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:27 +0100] "GET 
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 319 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:28 +0100] "GET 
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 319 "-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:30 +0100] "GET 
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 329 
"-" "-"
218.246.188.xx - - [14/Dec/2005:16:47:31 +0100] "GET 
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 329 "-" "-"

 /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 329 "-" "-"
Per ora no. Qualche simpaticone non ha capito che non e' un server IIS con 
estensioni frontpage e altre amenita' e sta cercando di sondare...
... mi ricorda una risposta di Davide a quello che sul server ftp openbsd 
cercava di entrare in \winnt\ (-:
... comunque comincerei a verificare le patch di sicurezza di apache2, php e 
quello che ti ritrovi di installato sul server (se hai un 
cms/portale/porNale/pacchetto/wiki/etc) prima che passi a cercare su quelli; 
poi se l'ip da cui rompe le palline (dell'albero di natale) e' sempre lo 
stesso, dagli una bella tritata a iptables/firewall/quelchee' affinche' gli 
molli un opportuno pernacchione...
-- 
     Shalom, Grizzly - 
http://g-weblog.blogspot.com/
Linux user since 1994 - Teddybears collector since 1997
        Mnemonic Phone: ++39-[0 or 3]-931 702 385

 si tratta di apache2 su woody
Credo che chiunque abbia a che fare con un server web abbia la nausea di 
queste voci di log. Sono popolari "spider-worm" che cercano di infettare 
il tuo server. Finché non è un server MS puoi stare tranquillo che 
questi attacchi non andranno da nessuna parte.
Ciò non togle che sono una gran rogna e consumano banda e cpu. Magari un 
qualche filtrino che cassa quell'indirizzo IP a monte.
Piuttosto tieni apache ben aggiornato, compresi i vari moduli, e adotta 
le classiche "best practices" in quanto a sicurezza del server e degli 
applicativi installati.
Alex.

 applicativi installati.
che non conosco :(
ora vedo un po', magari prendo su amazon un libro sulla sicurezza di 
apache, ne ho visto uno della o'really
In realta' non si tratta di un classico server web (nel senso che non 
deve hostare siti) ma un programma per conferenze , myreview 
(
http://myreview.lri.fr/
) che un professore all'uni mi ha chiesto la 
cortesia di installare su un pc.
Tale software ha bisogno di apache+mysql+php .
Speriamo non lo buchino prima della conferenza :-)

 Speriamo non lo buchino prima della conferenza :-)
Se vanno avanti cercando root.exe e _vti_* ce ne vorra' prima che lo 
buchino... sempre che non crolli da solo a causa delle risate di apache ((-:
PS: quando e' finita la conferenza perche' non metti un finto root.exe in cgi 
che gli invia qualcosa tipo
#!/usr/bin/perl
print "Content-type: text/plain\r\n";
print "\r\n";
print "PRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRRR!\r\n";
(((-:


 
L'importante è non dare motivo per cui uno ci debba provare :-D
Alex.

 
Questo è carino, avevo qualcosa di simile in un vecchio server 
letteralmente preso d'assalto da ste cose :-)
Luca