Newsgroup: it.comp.sicurezza.windows
Titolo: Attacco su un server Web

Salve ragazzi spero mi possiate aiutare.
Ogni venerdi sabato e raramente domenica il nostro
server Web viene attaccato da qualche idiota.
Ora di solito quelli che effettuano "delle prove" vengono
lasciati stare, alcuni invece molto insistenti vengono
segnalati e pizzicati.
Questo tipo di attacco invece dovrebbe essere effettuato
da qualche tool per cercare di bucare il server e che sfruttano
le vecchie vulnerabilità del servizio IIS se non patchato.
Ora il firewall (che ancora non è configurato al 100%)
fa il suo dovere, il problema è che sotto attacco a volte
IIS si impalla, (evitate di dire che windows fa schfo,
lo so già :-) e alcune volte la banda si riduce incredibilmente
rallentando la rete (quindi credo un attacco DoS).
Ovviamente conosco questi attacchi che arrivano
da web ormai da alcuni anni, volevo però sapere
se c'è qualcuno che fisicamente effettui questi tentativi,
o si tratta di server web zombi e quindi infetti che eseguono
degli script?.
Posto solo 2 tentativi di attacco riportati dal nostro server:
Messaggio automatico del server:
URL cercato :
http://IP.DEL.SER.VER/_vti_cnf/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../wi
nnt/system32/cmd.exe?/c+dir+c:\
URL cercato :
http://IP.DEL.SER.VER/iisadmpwd/..%c1%1c..%c1%1c..%c1%1c..%c1%1c..%c1%1c../w
innt/system32/cmd.exe?/c+dir+d:\
Indirizzo IP Loggato: 213.112.xxx.xxx
Utente: Sconosciuto o non loggato
BROWSER : Sconosciuto
Messaggio automatico per Admin: è stato eseguito un tentativo
di accesso bloccato dal server, se possibile controllare
l'esecuzione della pagina, il tipo di errore e il tipo di attacco.
Security Alert from Sygate Personal Firewall
One or more security issues were raised in your system
SERVER******* protected by Sygate Personal Firewall.
Please see the following details:
1.    Security Type: Intrusion Detection System
      Severity: Major
      Traffic direction: Incoming
      Protocol: TCP
      Begin time: 08/20/2004 10:00:55
      End time: 08/20/2004 10:00:55
      Remote host: xx.xx.xx.xx
      Local host: xxx.xxx.xxx.xxx
      Number of occurrence: 1
      Application involved: inetinfo.exe
2.    Security Type: Active Response
      Severity: Major
      Details: Traffic from IP address xxx.xxx.xxx.xxx
is blocked from 08/20/2004 10:00:56 to 08/20/2004 10:10:56.
Vi risparmio tutto il traceoute ma posto il finale
xxxxxxx.xx-x-xxxxxxx.cust.bredbandsbolaget.s dove
la x ovviamente è il coglione di turno.
Questo attacco è in esecuzione tutt'ora anche mentre
sto scrivendo. Non porterà a nessun frutto, primo
perchè l'idiota sta cercando la cartella di sistema WINNT
(giusto un pazzo installerebbe in quella cartella) e poi
perchè certa di sfruttare dei bug presenti in alcuni file
di examples di IIS che non sono stati installati.
Ma tant'è che la banda è dimezzata. Potreste gentilmente dirmi
che tipo di attacco è se provocato da qualche Worm,
o da persona fisica e se possibile impostare una regola ad Hoc col
sygate?
Le porte aperte ovviamente sono la 80 (è un server Web) e la 23 (lo so,
lo so, che è pericoloso, ma è momentaneamente aperta perchè
sto finendo di scrivere quanto più possibile alcune regole sul firewall
del router) tutte le altre porte sono chiuse fino alla 65535.
Scusate per il lungo post.
Grazie a chi mi può aiutare.

  
Potresti risolvere chiedendo al tuo provider (o chiunque ti fornisca la 
banda) di bloccare ogni tentativo di connessione (tcp&co.) da parte di 
quell'ip (se è statico).
Da parte tua puoi dimezzare il danno bloccando lato firewall ogni reply 
(tcp syn-ack, icmp reply, ecc..) in modo che ci sia solo un ingresso di 
flood e non anche un'uscita di risposte del tuo server.
Non saprei che altro dirti, spero di poterti essere stato d'aiuto.
Ciao,
Denis
-- 
Just remember, when you think you are free...

 ingresso di flood e non anche un'uscita di risposte del tuo server.
Ho creato anche una regola con sygate da affinare in modo da non
rispondere a nessuna richiesta echo, ping time ed altro in uscita,
ma devo testare se funziona bene.
Quell'ip è statico in quanto inserendolo in un programma ftp
o direttamente su explorer mi da che non ho le autorizzazioni
per accedere.
Quindi presumo sia un server FTP o simili, ma effettuando
un portscanning non c'è nessuna porta aperta ne web ne FTP.
Intanto bloccherò quell'ip.
Un'altra anima pia con altro consiglio?
Grazie