Newsgroup: it.comp.sicurezza.windows
Titolo: attacco server web.

Chiedo aiuto.
il mio server web win 2000 server è stato attaccato, mi hanno sostituito i
file index e default con una pagina assurda.
ora sto spippolando con i file di log.
perchè ho trovato il programma che ha inserito i files in alcune cartelle
del server...
qualcuno di voi mi da qualche dritta per sapere come comportarsi ?? come
trovo il bastardo?
grazie enrico.

trovo il bastardo?
Non lo trovi: al 99% avra' usato l'ultimo straordinario bug di IIS5,
che permette il controllo totale della macchina, senza lasciare
traccia nei log.
Vedi, piuttosto, di aggiornare IIS5 al piu' presto e, con ancor
maggiore celerita', rifletti sulla qualita' Microsoft.
-- 
Buttha
my tribute to SPAM: 
http://www.goriziaok.it/gioco

 ha scritto nel messaggio
news:3af67a59.14574967@localhost...


 trovo il bastardo?
Se il bastardo non era propriamente un fesso, temo che avra' ampiamente
cancellato le tracce del proprio passaggio.

 Non lo trovi: al 99% avra' usato l'ultimo straordinario bug di IIS5
Di che bug si tratta, questa volta?
Non ne so niente...
Eddy

 maggiore celerita', rifletti sulla qualita' Microsoft.
LOL!

file cmd.exe , puň essere utile?
Certo: possono essere utili per accedere alla tua macchina da remoto.
Prova, tanto per tranquillita', a fare un
netstat -na
oppure a vedere che processi sono in esecuzione.
Purtroppo, non avro' voglia di interpretare il netstat e la lista dei
processi in esecuzione, ma e' pur sempre un passo in avanti, no? :-))
hola


LOL!
E dire che mi sono controllato: in origine, volevo formulare una frase
contenente la parola "fogna".
hola


Non ne so niente...
http://www.security-focus.com/vdb/bottom.html?vid=2674


 processi in esecuzione, ma e' pur sempre un passo in avanti, no? :-))
Sei un bastardo...:-)

 ha scritto nel messaggio
news:3AF67C7B...@consultant.com...


 file index e default con una pagina assurda.
Nel LOG è rimasta la traccia della copia del file utilizzando qualcosa tipo:
http://miosito.com/scripts/../../winnt/system32/cmd.exe+/f+copy
 (eccetera) ?
Molto probabilmente ha sfruttato la vulnerabilità dell'esecuzione a monte
della cartella /scripts utilizzando i famigerati caratteri UNICODE.
E' successo anche a me :-(
Ti consiglio una buona lettura
http://www.securityfocus.com/bid/1806
Subito dopo, scaricati la security patch dal sito Microsoft.
http://www.microsoft.com/technet/security/bulletin/MS00-078.asp
P.S: Per curiosità, cosa ha messo nella pagina? C'è un indirizzo
xxxx...@mail.yahoo.cn
?
Ciao
Big Trumpet


Ahahhahahahhahahha!
Eddy

Non è un bug, è una feature...
:)
--
GbC
--

 Big Trumpet
infatti ha lasciato traccia del tipo scripts/..... etc etc ha provato con 4
indirizzi ip diversi, non che abbia fatto grossi danni, anzi, ha solamente
cambiato le pagine default e index, gli ip sono stati consegnati alle
autorità, ma credo che se non è un fesso abbia usato ip d'appoggio.
la pagina conteneva proprio l'indirizzo email con dominio 
yahoo.com.cn
e la pagina era semplice, conteneva illazioni velate....;-) contro il
governo americano (fuck american government) .
ciao e grazie.
--
Enrico.
Togliere <NO-SPAM> per le risposte.....

 ha scritto nel messaggio
news:lvNJ6.1104$B87....@news.infostrada.it...


 qualcuno di voi mi da qualche dritta per sapere come comportarsi ??
Format :-)
Reinstalla tutto e occhio agli aggiornamenti Hotfix di IIS e W2000.
ciao
--
Fabio
cinqua...@libero.it

Esiste un sito che ne parla in modo chiaro??
Il sito del CERT ti spiega chiaramente come difenderti.
<shere khan>
Oh, ma forse tu volevi sapere qualcos'altro?
</shere khan>
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 su un altro affare strano che si chiama stack eseguibile.
Ti sbagli.
In *questo* caso, a quanto pare, non ha sfruttato il bug dell'ISAPI, bensì
la ben nota (è precedente, esisteva anche per IIS4) vulnerabilità all'url
con caratteri UNICODE che permette di risalire la directory /scripts per
avere accesso a tutti gli eseguibili del disco.
http://www.securityfocus.com/bid/1806
P.S. Non divertitevi a provare l'attacco su qualche web-server che non sia
il vostro... la traccia rimarra comunque sul log col vostro Ip, e il log si
può cancellare ma..... ci siamo capiti no?
Big Trumpet