betrouwbaar NIMDA kenmerk in apache log

[xychix]

%/usr/bin/grep -c "/_vti_bin" /usr/local/apache/logs/access_log
516
%/usr/bin/grep -c "root.exe" /usr/local/apache/logs/access_log
1201
%/usr/bin/grep -c "msadc" /usr/local/apache/logs/access_log
489
%/usr/bin/grep -c "25%35%63" /usr/local/apache/logs/access_log
430
%

een paar grep -c 's

hoe kan ik BETROUWBAAR het aantal nimda attacks bepalen.

Ik zoek dus een string die PRECIES 1 keer in elke attack voorkomt !!
usr/bin/grep -c "25%35%63" /usr/local/apache/logs/access_log > /tmp/file

wil niet in crontab, ik krijg dan de volgende error


From: xychix (Cron Daemon)
To: xychix
Subject: Cron <xychix@bergman> /usr/bin/grep -c "25

Syntax error: Unterminated quoted string

Wie helpt mij verder

[bkor]

Op zaterdag 22 september 2001 17:19 schreef xychix het volgende:
Syntax error: Unterminated quoted string

man 5 crontab

Daarnaast kan je misschien grep -E of egrep gebruiken voor je regexp. Dan krijg je zoiets als:

code:

egrep -c '(/_vti_bin|root\.exe|msadc|25%35%63)' /usr/local/apache/logs/access_log

Wil je bovenstaande regexp gebruiken, vergeet dan niet die man page door te lezen.

[flat]

1 attack ziet er als volgt uit (over het algemeen dan, soms zitten er een paar minder in, vraag me niet waarom, maar 't is wel zo)

code:

217.129.51.206 - - [23/Sep/2001:08:11:04 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 274 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:05 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 272 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:05 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 282 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:06 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 282 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:06 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 296 "-"  "-"
217.129.51.206 - - [23/Sep/2001:08:11:06 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:07 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:08 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 329 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:08 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:09 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:10 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:11 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:12 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 279 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:13 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 279 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:14 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 296 "-" "-"
217.129.51.206 - - [23/Sep/2001:08:11:15 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 296 "-" "-"

dus als je dan één ding uitzoekt (hoe eerder hoe beter, kans is kleiner dat 'ie niet meer wordt uitgevoerd als halverwege de attack de remote computer wordt uitgezet.
daarom lijkt het me niet gek om te greppen op deze:

code:

/scripts/root.exe?/c+dir

[xychix]

thanks nu kom ik er wel

[Verwijderd]

Als je nu gewoon es grepped op cmd.exe (case insensitive grep -i dus) ipv op die %crap%crap dingen? stukke praktisher

[xychix]

Op maandag 24 september 2001 08:49 schreef Yarvieh het volgende:
Als je nu gewoon es grepped op cmd.exe (case insensitive grep -i dus) ipv op die %crap%crap dingen? stukke praktisher

[xychix]

Op maandag 24 september 2001 08:49 schreef Yarvieh het volgende:
Als je nu gewoon es grepped op cmd.exe (case insensitive grep -i dus) ipv op die %crap%crap dingen? stukke praktisher

aarrrcchh

dan kom ik over de 2000 deze tekst komt in de gemiddlede aanval niet 1 maar 6-10 keer voor !!| :(

[Verwijderd]

Je moet een grep doen op cmd.exe ofzo, en dan pipe je dat ding naar awk en haal je er het ip adress uit. Dan run je er nog een uniq over en je hebt een lijst van unieke ip's die nimda hebben.

Dus zoiets:

code:

cat access.log* | grep cmd.exe | awk '{print $1}' | uniq | sort

Dat awk commando splits een lijn op in velden met de spatie als separator en toont dan alleen het eerst veld. En da's dus het ip adress (en je copy/paste te zien)

Edit: typo

[Koffie]

Move [forum=24] > [forum=23]

[flat]

hmmm ik dacht al wie heeft hier nu nog een vraag over?
maar 't is gewoon een oud topic

[Verwijderd]

Dus zoiets:

code:

cat access.log* | grep cmd.exe | awk '{print $1}' | uniq | sort

Oud idd
En het werkt ook niet (bij mij niet iig)

uniq - remove duplicate lines from a sorted file
Je kan dus beter eerst pipen naar sort en dan naar uniq, anders heeft het geen zin.

[Verwijderd]

Op donderdag 03 januari 2002 11:04 schreef TM001 het volgende:

[..]

Oud idd
En het werkt ook niet (bij mij niet iig)

uniq - remove duplicate lines from a sorted file
Je kan dus beter eerst pipen naar sort en dan naar uniq, anders heeft het geen zin.

Ja idd, was foutje van me

En oud topic of niet, is altijd handig voor iemand die een search doet. En ik heb toch tijd teveel dus ik reply ff