Newsgroup: it.comp.os.win.win2000
Titolo: Probabile attacco ?

Salve,
ultimamente il mio IIS si pianta molto più frequentemente del normale.
Diciamo 3/4 volte al giorno.
Premetto che sono un ignorante totale delle tecniche di hacking e
delle normali procedure avanzate di sicurezza per proteggere un
server, quindi chiedo già fin d'ora venia se quello che dico sarà
biasimabile.
Ora, ho dato una scorsa all'EVENT VIEWER e mi sono accorto che in
corrispondenza dello stesso orario di ogni errore del SYSTEM LOG -
veri errori di IIS o di altri servizi - c'era un SUCCESS AUDIT, per me
inspiegabile, su SECURITY LOG.
In sostanza un utente IUSR_NOMEDELLAMIAMACCHINA sembra si sia
collegato, non so da dove nè con che autorizzazioni:
Successful Network Logon:
  User Name: IUSR_NOMEMACCHINA
  Domain:  NOMEMACCHINA
  Logon ID: (0x0,0x1CFCF)
  Logon Type: 3
  Logon Process: IIS     
  Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
  Workstation Name: NOMEMACCHINA
Noto che ci sono anche dei SUCCESS AUDIT con "anonymous login":
User Logoff:
  User Name: ANONYMOUS LOGON
  Domain:  NT AUTHORITY
  Logon ID: (0x0,0x378F7)
  Logon Type: 3 
per me inspiegabili, perchè non c'è nessun account anonimo settato e
degli IWAM_NOMEMACCHINA ... anch'essi inspiegabili.
Successful Logon:
  User Name: IWAM_NOMEMACCHINA
  Domain:  NOMEMACCHINA
  Logon ID: (0x0,0x2D306)
  Logon Type: 4
  Logon Process: Advapi  
  Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
  Workstation Name: NOMEMACCHINA
User Logoff:
  User Name: IWAM_NOMEMACCHINA
  Domain:  NOMEMACCHINA
  Logon ID: (0x0,0x2D306)
  Logon Type: 4
 
Ora, il mio server ha WIN2K con tutti gli ultimi patch installati. Ci
sono in totale tre account FTP, nessuno anonimo.
Come fanno questi ad ottenere tutti questi SUCCESS AUDIT ? Se davvero
qualcuno sta attaccando il mio server, da dove entrano ? Ho sentito, o
meglio, letto della possibilità degli attacchi NULL SESSION, credo di
avergli messo una pezza, ma può essere questo ?
Qualcuno sa indicarmi degli step da seguire per controllare se davvero
il mio server è così vulnerabile da permettere a chiunque di entrare,
farmelo piantare, e andarsene indisturbato senza lasciare traccia o
meglio lasciandone alcune ma per me incomprensibili ?

 degli IWAM_NOMEMACCHINA ... anch'essi inspiegabili.
Ed IWAM_ è l'utente usato per far partire i processi all'interno
di IIS.
La cosa è normale.

 sta...
SI !!! A dire la verità io non uso ASP ma Cold Fusion. Però ho
acquisito dei siti web sviluppati in ASP e li ho messi suo mio server.
Effettivamente, ora che ci penso, i problemi sono iniziati il giorno
dopo.
Ora, purtroppo di ASP non ne capisco nulla, che faccio cancello
intanto tutto e vedo se il problema si elimina ? Oppure, puoi
indicarmi cosa dovrei cercare nelle pagine e cosa dovrei aggiungere
alla fine (Set oggetto=nothing) ?
Grazie !!!

 Grazie !!!

 con esperienza tangibile su ASP per fargli revisionare il codice.
Ho staccato i siti in ASP ma il problema persiste. In un primo momento
pensavo che fosse un problema di traffico (ne abbiamo moltissimo) ma
il server pianta anche alle 5 di mattina. L'errore è sempre quello:
"The IIS Admin Service service terminated unexpectedly.  It has done
this 1 time(s).  The following corrective action will be taken in 1
milliseconds: Run the configured recovery program." ... ma il servizio
resta bloccato e non si riavvia.
Dai LOGS dei siti non risulta nessun tentativo di attacco, o almeno
... diciamo che io non ne vedo.
Ho scaricato gli ultimi aggiornamenti Microsoft. Provo ad installarli
e vediamo se il problema persiste.
Che alternative ho ? pagare un bravo amministratore di sistemi Windows
che mi monitori il sito e capisca, almeno, qual'è il problema e me lo
risolva ? Io non ci riesco.