Probeert iemand binnen te komen?

[Nicap]

Ik heb sinds kort ff een webservertje draaien op m'n lokale pc. Nu keek ik in de logs en zag ik dit staan. Ik ben wat webservers betreft een rookie, maar dit lijkt me niet helemaal kloppen. Wat kan dit betekenen?:

[Sat Mar 29 00:06:43 2003] [error] [client 80.62.xxx.xxx] File does not exist: c:/program files/instantservers/miniportal/apache/htdocs/scripts/root.exe
[Sat Mar 29 00:06:43 2003] [error] [client 80.62.xxx.xxx] File does not exist: c:/program files/instantservers/miniportal/apache/htdocs/msadc/root.exe
[Sat Mar 29 00:06:44 2003] [error] [client 80.62.xxx.xxx] File does not exist: c:/program files/instantservers/miniportal/apache/htdocs/c/winnt/system32/cmd.exe
[Sat Mar 29 00:06:44 2003] [error] [client 80.62.xxx.xxx] File does not exist: c:/program files/instantservers/miniportal/apache/htdocs/d/winnt/system32/cmd.exe

[ Voor 4% gewijzigd door Nicap op 29-03-2003 23:38 ]

[Genghis Khan]

Dat is gewoon iemand die exploits op jouw PC probeert te draaien. Geen probleem, file does not exist staat er immers en valt er dus niet veel te exploiten.

[Verwijderd]

nicap: voor de volgende keer: vermeld niet je originele ip... Je bent blijkbaar net begonnen met een webserver en minder positieve GoT'ers weten dan precies waar ze moeten zoeken.

BTW al aan een firewall gedacht ??

[Verwijderd]

Dat is een Worm (Nimda/CodeRed etc) die op zoek is naar ongepatchte IIS/Apache bakken...

Post hier op GoT geen -niet-lokale- IP nummers.

Al aan een firewall gedacht?
Aanraders:
- Kerio Personal Firewall
- Sygate Personal Firewall
- ZoneAlarm

Met zoeken op CMD.exe + Root.exe had je het allemaal kunnen vinden....
Evenals Google + apache/htdocs/scripts/root.exe

Over je poort vraag: Het Grote Poortmappingsverhaal al doorgenomen ?

[ Voor 112% gewijzigd door Verwijderd op 29-03-2003 23:44 ]

[Nicap]

Het is niet mijn ip nummer. Dat is het ipnummer van degene die die exploits probeert te draaien dan, en daar vraagt ie dan zelf om denk ik. Maar ik zal het voortaan niet meer doen. Nou ik toch een topic hier open heb, gelijk ff wat anders:

Firewall moet ik nog installeren btw. Het probleem: ik had de webserver eerst draaien op deze pc en poort 80 gemapped naar deze(via router). Maar op een of andere manier kon niemand mijn pagina toen bezoeken. Ik heb omdat ik perse ff de pagina wilde laten draaien even deze pc als DMZ gezet. Dat is eigenlijk niet versandig, maar ja. Kan iemand mij uitleggen waarom niemand die pagina kan zien als ik poort 80 gemapped heb naar de webserver pc?

[ Voor 4% gewijzigd door Nicap op 29-03-2003 23:38 ]

[Nicap]

Dat poortmappings verhaal dat ken ik wel zoals ik zei. Ik had idd ook beter kunnen zoeken met google. Maar dat hoef je niet te zeggen hoor. Als heel got goed gaat zoeken met google kun je got wel opdoeken, want dan mag/kun je niks meer vragen.

ontopic: Ik snap alleen niet waarom de webserver het niet doet als ik poort 80 heb gemapped. Zonealarm is nu geinstalleerd btw.

[Erik1]

Dit soort gepruts heb ik ook veel last van

code:

66.250.115.xx - - [24/Mar/2003:02:20:31 +0100] "CONNECT 64.15.239.131:25 HTTP/1.0" 200 668 "-" "-"
66.250.115.xx - - [24/Mar/2003:02:20:40 +0100] "CONNECT 64.15.239.131:25 HTTP/1.0" 200 668 "-" "-"

217.52.98.xxx - - [26/Mar/2003:18:31:39 +0100] "GET /default.ida?XXX-knip-X%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a  HTTP/1.0" 404 1386 "-" "-"

cpxxxxxx-a.landg1.lb.home.nl - - [24/Mar/2003:16:13:54 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 700 "-" "-"

xxxxx.nas7.fort-lauderdale1.fl.us.da.qwest.net - - [24/Mar/2003:07:33:17 +0100] "CONNECT mailin-04.mx.aol.com:25 HTTP/1.0" 200 682 "-" "-"

En meer van dat soort ongein

Maarja gelukkig zegt mijn server dan: "File does not exist: /var/www/ip/scripts/..%2f../winnt/system32/cmd.exe"

Het vervelende is alleen dat dit echt de HELE dag achterelkaar doorgaat, niet een keer, nee duizenden requests, en meestal door de zelfde paar IP's. Gelukkig word mijn verbinding er niet slomer van

Ik denk dat het bij elke webserver wel gebeurt die openbaar is op internet, ze scannen gewoon complete IP ranges af.

[ Voor 16% gewijzigd door Erik1 op 30-03-2003 11:43 . Reden: Layout ]

[Erkens]

Erik1 schreef op 30 March 2003 @ 11:42:
Dit soort gepruts heb ik ook veel last van

<knip layout verneukend stukje>

En meer van dat soort ongein

Maarja gelukkig zegt mijn server dan: "File does not exist: /var/www/ip/scripts/..%2f../winnt/system32/cmd.exe"

Het vervelende is alleen dat dit echt de HELE dag achterelkaar doorgaat, niet een keer, nee duizenden requests, en meestal door de zelfde paar IP's. Gelukkig word mijn verbinding er niet slomer van

Ik denk dat het bij elke webserver wel gebeurt die openbaar is op internet, ze scannen gewoon complete IP ranges af.

yup, iedereen met poort 80 open heeft hier last van, gewoon zorgen dat je altijd alle patches geinstalleerd hebt en regelmatig je logfiles doorneemt.