Newsgroup: it.comp.sicurezza.windows
Titolo: Tracce sul log di IIS 5.0

Ho trovato questi record sul file di log del mio IIS (che deve girare
esclusivamente in locale; è sul mio desktop win 2000 pro dove effettuo
connessioni internet esclusivamente in dial up):
14:31:43 202.99.26.178 GET /scripts/root.exe 404
14:31:45 202.99.26.178 GET /MSADC/root.exe 404
14:31:47 202.99.26.178 GET /c/winnt/system32/cmd.exe 404
14:31:49 202.99.26.178 GET /d/winnt/system32/cmd.exe 404
14:31:52 202.99.26.178 GET /scripts/..%5c../winnt/system32/cmd.exe 200
14:32:52 202.99.26.178 GET /scripts/..%5c../winnt/system32/cmd.exe 502
14:32:56 202.99.26.178 GET /scripts/..%5c../winnt/system32/cmd.exe 502
14:32:59 202.99.26.178 GET /scripts/..%5c../winnt/system32/cmd.exe 502
14:33:03 202.99.26.178 GET /scripts/..%5c../httpodbc.dll 500
14:33:05 202.99.26.178 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 200
14:33:10 202.99.26.178 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502
14:33:14 202.99.26.178 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502
14:33:17 202.99.26.178 GET
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502
14:33:19 202.99.26.178 GET
/_vti_bin/..%5c../..%5c../..%5c../httpodbc.dll 500
14:33:21 202.99.26.178 GET
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 404
14:33:23 202.99.26.178 GET
/msadc/..%5c../..%5c../..%5c/..Á ../..Á ../..Á ../winnt/system32/cmd.exe
500
14:33:25 202.99.26.178 GET /scripts/..Á ../winnt/system32/cmd.exe 500
Che mi paiono decisamente ostili: cosa ne pensate?
Al traceroute trovo quanto segue: 
  1   120 ms   100 ms   100 ms  10.31.11.6
  2   120 ms   100 ms   100 ms  195.31.11.5
  3   120 ms   110 ms   121 ms  
r-bs9-lc1.interbusiness.it
[151.99.103.5]
  4   100 ms   131 ms   100 ms  
r-bs32-fa6.interbusiness.it
[195.31.11.202]
  5   110 ms   111 ms   110 ms  
r-mi98-fa4.interbusiness.it
[151.99.75.207]
  6   210 ms   131 ms   110 ms  
mi5-ibs-9-it.seabone.net
[195.22.196.41]
  7   261 ms   200 ms   260 ms  
so-2-1-1.ar2.NYC2.gblx.net
[208.48.33.9]
  8   821 ms   190 ms   200 ms  
pos5-0-622M.cr2.NYC2.gblx.net
[208.48.234.205]
  9   270 ms   361 ms   280 ms  64.211.147.86
 10   281 ms   310 ms   281 ms  
so1-0-0-622M.br4.PAO2.gblx.net
[64.211.147.162]
 11   281 ms   280 ms   280 ms  202.97.48.41
 12   280 ms   301 ms   280 ms  202.0.170.50
 13   721 ms   741 ms   771 ms  202.0.170.41
 14   861 ms   901 ms   861 ms  
p-13-0-r1-c-bjbj-1.cn.net
[202.97.33.9]
 15   762 ms   731 ms   741 ms  202.96.12.38
 16   771 ms   752 ms   761 ms  202.106.192.158
 17   871 ms   751 ms   761 ms  202.96.13.130
 18   461 ms   461 ms   460 ms  211.99.57.34
 19   450 ms   441 ms   451 ms  202.99.57.115
 20   540 ms     *      441 ms  202.99.57.70
 21     *        *        *     Richiesta scaduta.
 22   821 ms   831 ms   921 ms  202.99.26.178
Sapete se è possibile configurare IIS in modo che accetti connessioni
ESCLUSIVAMENTE da 127.0.0.1 ?
Grazie e ciao

 ESCLUSIVAMENTE da 127.0.0.1 ?
Probabilmente si, prova a vedere sui files di configurazione o tra i bind 
dei servizi (non ho un 2k per verificare, sorry)
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus

 14:31:45 202.99.26.178 GET /MSADC/root.exe 404
[CUT]
Prova ad installare le patch che è la soluzione + veloce...e a cancellare i
file nella directory script che crea il virus.
Ciao

 esclusivamente in locale; č sul mio desktop win 2000 pro dove effettuo


 > 14:31:43 202.99.26.178 GET /scripts/root.exe 404
Uhmmm... uno scanner che verifica il directory transversal andando a
cercare la backdoor di CodeRed? A me sembra nimda: anche la sequenza
delle GET mi sembra la stessa.
Fabio

> Ce ne sono vari che lo fanno.
In effetti non potrei giurare che non esistano scanner per vulnerabilita'
che eseguano le stesse GET di nimda.E e le eseguano nella stessa sequenza
ma mi sembra molto piu' probabile che si tratti del worm. O no? :)
Comunque, quali sono gli scanner che lasciano questa traccia?
Fabio