Newsgroup: it.comp.sicurezza.unix
Titolo: Chi mi spiega? Prob log apache

Leggendo i log di apache ho trovato:
194.29.26.126 - - [10/Sep/2002:17:48:18 +0200] "HEAD / HTTP\1.0" 200 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:28 +0200] "HEAD /// HTTP/1.0" 200 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:28 +0200] "HEAD ///server-info HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:28 +0200] "HEAD ///server-status HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /site/eg/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /doc/ HTTP/1.0" 403 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "GET /doc// HTTP/1.0" 403 271 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "GET /doc/packages HTTP/1.0" 403 278 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /~nobody/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD ///manual/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /cgi-bin/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /// HTTP/1.0" 200 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD ///carbo.ddl HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /technote/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /iisadmpwd/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /cgi-dos/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /scripts/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /mall_log_files/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "HEAD /Admin_files/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:29 +0200] "GET ///quote.html HTTP/1.0" 404 6044 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /cgi-bin/ikonboard/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /foldoc/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /cgi-bin/adcycle/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /ROADS/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /way-board/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "HEAD /cgi-bin/a1stats/ HTTP/1.0" 404 0 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:30 +0200] "GET ///index.php?chemin=..%2F..%2F..%2F..%2F..%2F..%2Fetc HTTP/1.0" 200 8610 "-" "-"
194.29.26.126 - - [10/Sep/2002:17:48:31 +0200] "GET ///edit_image.php?dn=1&userfile=/etc/passwd&userfile_name=%20;ls;%20 HTTP/1.0" 404 6044 "-"
"-"
Quello che mi preoccupa, visto che delle altre righe non ci capisco
molto, è la penultima riga:
"GET ///index.php?chemin=..%2F..%2F..%2F..%2F..%2F..%2Fetc
come ha fatto a sapere "quanto tornare indietro" per la etc?
devo preoccuparmi?
grazie

On Tue, 10 Sep 2002 20:07:57 +0200, David wrote:
ops, un po' confuso... era meglio lasciare una riga di spazio.
...semmai riposto
ciao

 devo preoccuparmi?
Insomma, io butterei fuori tutto il range di indirizzi che appartengono
a questa ditta.
Mi assicurererei che Apache fosse adeguatamente aggiornato.
E scriverei ai signori mandadogli il log chiedendo se sono in cerca di una 
denuncia.
whois [indirizzo_ip] e scopri chi sono e quali sono gli indirizzi da 
escludere.
-- 
SpeedTech
http://www.speedtech.it

 
Grazie.
Alla prossima.
        MAX

 come ha fatto a sapere "quanto tornare indietro" per la etc?
se metti molti ../ anche piu' di quelle che effettivamente ti 
riporterebbero alla radice, arrivi comunque a /.
prova con cd ../../../../../../../../../../../../ (mettine quanti te ne 
pare) e vedrai che capiterai sempre in /. e da li' e' facile, arrivare 
ad /etc.
-- 
Fox Mulder
...the truth is out there