Newsgroup: it.lavoro.professioni.webmaster
Titolo: [ot] Non è possibile

Scusate lo sfogo ma non č possibile, ieri ho trovato a distanza di diversi
mesi tentativi di accesso da parte del worm Nimda.
Ma dico io č possibile che un defic**nte di sa non abbia ancora installato
le patch in questione? Sono passati quasi 2 anni da Nimda e poi ci si
lamenta se i siti vengono defacciati, mah...
-- 
ITHost (your host company)
Technical Manager
C. Paparelli (MCSE,MCSD,MCDBA)
http://www.ithost.ch

 
ehehe
possibile possibile, qualcuno capita anche a me. ma ancora di
più code red, almeno un centinaio di tentativi al giorno.
--
Nico

 piů code red, almeno un centinaio di tentativi al giorno.
e tu come ti comporti? personalmente mando i log ad abuse del loro provider,
ma sono pochi i provider che prendono provvedimenti.


 lamenta se i siti vengono defacciati, mah...
*un* deficiente solo ? ce ne sono a migliaia (ho intere reti tagliate
ciclicamente dall'ISD, guarda qua e si tratta di un ISD che veicola solo
5Mbps di traffico per alcuni dedicated hosting:
06/26-07:10:50.409953  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.155.40.179:4655
 -> 
217.64.198.244:80
06/26-07:29:58.221642  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
80.131.208.72:3064
 -> 
217.64.198.213:80
06/26-08:00:44.116554  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.232.96.194:3630
 -> 
217.64.197.118:80
06/26-08:03:17.747954  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
80.131.208.72:4209
 -> 
217.64.198.234:80
06/26-08:10:57.130463  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.155.40.179:3445
 -> 
217.64.198.5:80
06/26-08:22:15.446898  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.1.240.89:4161
 -> 
217.64.198.196:80
06/26-09:08:37.886391  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.76.34.147:3265
 -> 
217.64.198.198:80
06/26-09:16:35.986774  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.44.48.236:3229
 -> 
217.64.197.106:80
06/26-10:12:15.358849  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.1.10.12:4551
 -> 
217.64.198.214:80
06/26-10:26:41.935644  [**] [1:1256:7] WEB-IIS CodeRed v2 root.exe access [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 
217.76.34.147:4114
 -> 
217.64.198.208:80
Chain SNORT (1 references)
target     prot opt source               destination         
DROP       all  --  217.56.210.38        
0.0.0.0/0
 
DROP       all  --  217.218.83.131       
0.0.0.0/0
 
DROP       all  --  217.64.110.114       
0.0.0.0/0
 
DROP       all  --  217.136.13.167       
0.0.0.0/0
 
DROP       all  --  217.235.149.1        
0.0.0.0/0
 
RETURN     all  --  
0.0.0.0/0
 
0.0.0.0/0
 
Guardian last status
06/26-11:09:39 217.56.210.38    [1:1243:8] WEB-IIS ISAPI .ida attempt
06/26-11:09:39 adding '-I SNORT -s 217.56.210.38 -i eth0 -j DROP'
06/26-11:09:39 [217.235.149.1] blocked for 550 s. of 600. Leaving.
06/26-11:09:39 [217.136.13.167] blocked for 78 s. of 600. Leaving.
06/26-11:09:39 [217.218.83.131] blocked for 45 s. of 600. Leaving.
06/26-11:09:39 [217.56.210.38] blocked for 0 s. of 600. Leaving.
06/26-11:09:39 [217.64.110.114] blocked for 62 s. of 600. Leaving.

 5Mbps di traffico per alcuni dedicated hosting:
no io mi riferivo a nimda,
-- 
ITHost (your host company)
Technical Manager
C. Paparelli (MCSE,MCSD,MCDBA)
http://www.ithost.ch
 di code red ne ho parecchi (haime anch'io) ma nimda
sembrava risolto in quanto per un paio di settimane non l'ho più visto tra
le scatole

 no io mi riferivo a nimda,
anche peggio !!

 provider, ma sono pochi i provider che prendono provvedimenti.
guarda, questi solo stamattina (e parlo del server 'piccolo'):
80.180.52.* - - [26/Jun/2003:00:49:09 +0200] "GET /default.ida?XXX-cut
80.180.129.* - - [26/Jun/2003:00:53:57 +0200] "GET /default.ida?XXX-cut
80.180.147.* - - [26/Jun/2003:01:18:15 +0200] "GET /default.ida?XXX-cut
80.180.190.* - - [26/Jun/2003:02:53:39 +0200] "GET /default.ida?XXX-cut
80.180.190.* - - [26/Jun/2003:03:41:19 +0200] "GET /default.ida?XXX-cut
80.180.52.* - - [26/Jun/2003:04:50:16 +0200] "GET /default.ida?XXX-cut
80.180.52.* - - [26/Jun/2003:06:01:22 +0200] "GET /default.ida?XXX-cut
80.180.52.* - - [26/Jun/2003:07:47:10 +0200] "GET /default.ida?XXX-cut
80.180.101.* - - [26/Jun/2003:12:52:36 +0200] "GET /default.ida?XXX-cut
come vedi sono sicuramente tutti client su adsl, tutti dello stesso provider.
anche scrivendo all'abuse non combinano niente :(
alla fine l'unica cosa che posso fare č un bel:
iptables -A INPUT -i $i_face -p tcp -s $ip -j DROP
ma poi appena cambiano ip si ricomincia..
--
Nico

 ma poi appena cambiano ip si ricomincia..
quello lo faccio anch'io, ma mi sa che č ricominciata un'ulteriore ondata di
nimda grazie ai soliti pistola e poi vai di banda sprecata.


 
<cut>
ma tu non lavoravi per 
SST.IT
 ?