ik word gehacked deel 432

[Nielsz]

Ik kreeg deze melding in mijn weblog:
default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a

Lijkt erop dat hij een buffer wil overflowen ???
Ik heb 'm nu teruggestuurd naar hem zelf
Hij was wel zo slim op dym ip te nemen, mijn pings en tracert's verdwijnen in het niets maar ik krijg een fijne 'pagina is in aanbouw' melding op http

Wat kan ik doen????

[Nielsz]

Ik draai btw gewoon apache.

[Ramon]

[HappyFun]

Op donderdag 23 augustus 2001 23:22 schreef Tampie2000 het volgende:

Dan doe ik

[Rukapul]

Onder welke steen heb jij geleefd de afgelopen weken

Maar gefeliciteerd. Je hebt zojuist de eerste Code Red II probe gezien

[Verwijderd]

Goededag! Afgelopen maand in een grot geleefd ofzo???

[markvt]

Code Red use the search on that

[Nielsz]

Die mijn apache over de zeik krijgt?

[Verwijderd]

[Ramon]

Op donderdag 23 augustus 2001 23:24 schreef Nielsz het volgende:
Die mijn apache over de zeik krijgt?

wie zegt dat jou apache over de zeik gaat? dit is toch alleen een melding in je logs?
ik heb die ook weleens de laatste tijd, maar aangezien apache er niet gevoelig voor is en IIS ook niet meer NA de laatste update eroverheen te hebben gegooid is er niets aan de hand.

[Verwijderd]

/me vraagt zich af hoe groot die steen van Nielz wel niet was

[Nielsz]

Mijn weblogs waren opeens weg, de link in mijn systray naar mijn weblogs doen het ook niet meer. Dus echt fijn vondt hij het niet.

En ja ik ken code red (duh ), maar dat mijn apache flipt vind ik errug raar en daarom dacht ik niet meteen aan code red

[Ramon]

Op donderdag 23 augustus 2001 23:27 schreef Nielsz het volgende:
Mijn weblogs waren opeens weg, de link in mijn systray naar mijn weblogs doen het ook niet meer. Dus echt fijn vondt hij het niet.

En ja ik ken code red (duh ), maar dat mijn apache flipt vind ik errug raar en daarom dacht ik niet meteen aan code red

gelukkig... dan is het minder ernstig met je gesteld dan we dachten.

maar ik kan je vertellen; als je je systeempje nog niet gepatched hebt en je draait IIS, dat je dan wel ergere dingen krijgt dan dat er 'iets' kwijt is. In zo'n geval gaat je pc oertraag lopen. Het geheugen en CPU gebruik van inetinfo.exe loopt torenhoog op en iets anders doen met je pc kun je wel vergeten.

[Verwijderd]

Ik denk niet dat je apache hierom 'flipt', als daar al sprake van is..

Zou je machine maar eens goed gaan controleren, 'zomaar' verdwijnende dingen houdt ik persoonlijk niet zo van..

[Rukapul]

Op donderdag 23 augustus 2001 23:26 schreef Tampie2000 het volgende:

[..]
ik heb die ook weleens de laatste tijd, maar aangezien apache er niet gevoelig voor is en IIS ook niet meer NA de laatste update eroverheen te hebben gegooid is er niets aan de hand.

Sterker nog. Als je net zoals ik alle functionaliteit die je niet nodig hebt uitzet dan had je niet eens getroffen kunnen worden. Zelf heb ik alle extenties, ISAPI filters en weet niet wat meer verwijderd uit IIS. Iedereen zou dat moeten doen ASP heb ik laatst weer toegevoegd en dat is de enige geloof ik En PHP natuurlijk

De index server en al z'n extenties en vage admin extenties moet je gewoon verwijderen (.htr, .ida, ... )

[Nielsz]

Ik ook niet nee, daar hou ik helemaal niet van
[toegegeven, mijn pc is behoorlijk brak ]

Kan iemand ff controleren of dit dezelfde querystring is als Code Red?

[Ramon]

Op donderdag 23 augustus 2001 23:37 schreef Rukapul het volgende:

[..]

Sterker nog. Als je net zoals ik alle functionaliteit die je niet nodig hebt uitzet dan had je niet eens getroffen kunnen worden. Zelf heb ik alle extenties, ISAPI filters en weet niet wat meer verwijderd uit IIS. Iedereen zou dat moeten doen ASP heb ik laatst weer toegevoegd en dat is de enige geloof ik En PHP natuurlijk

De index server en al z'n extenties en vage admin extenties moet je gewoon verwijderen (.htr, .ida, ... )

das een goed idee
ik moet em ook nog een beetje tweaken... volgens mij staat mijn compu ook vet open voor de wijde wereld

[Verwijderd]

Heb ik net ook gehad, een locale server (localhost) achter een firewall.

Omnihttpd

212.241.78.108 localhost - [24/Aug/2001:21:48:24 +0200] "GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 868 "" ""
Error reading "d:\\default.ida" - The system cannot find the file specified.

Kan de file niet vinden dus dat zal wel goed wezen.

[SiErRa]

Ik dacht .. goh laat ik ook mijn logs maar eens doorkijken:

code:

bash-2.05$ cat httpd-access.log| grep -c default.ida?
1381

en dat is vanaf 1 augustus.. en dat voor een simpel routertje.

[Thrillseeka]

Ach zie al dagen lang niets anders dan http port probe niks mis mee lijkt me

[Kettrick]

Op zaterdag 25 augustus 2001 01:12 schreef SiErRa het volgende:
Ik dacht .. goh laat ik ook mijn logs maar eens doorkijken:

code:

bash-2.05$ cat httpd-access.log| grep -c default.ida?
1381

en dat is vanaf 1 augustus.. en dat voor een simpel routertje.

Ach,

het kan erger

code:

bash-2.04$ cat access_log |grep default.ida | wc -l
    3419

[Apache]

blacky@bserver:~$ grep -c default.ida? /usr/local/apache/logs/access_log
4332



ik heb default.ida aangemaakt dat die semi sysadmins hun hd's delete en dan hun pc reboot, ik weet dat het waarschijnlijk niet legaal is enz maar ze bezochten gewoon een webpage op m'n server dusss

[Verwijderd]

<23:58:27>:/# cat access_log |grep default.ida |wc -l
5685

hmmm..