IIS 5.0 stopped zomaar uitzichzelf?

[Verwijderd]

Beste tweakers,

Ik heb een heel wazig probleem.
Het is me nu al drie keer overkomen in 2 weken tijd dat myn IIS zomaar alle onderliggende services (ftp, smtp, http) stopt, zonder er ook maar een enkel rede voor is.
Na een herstart is draaid hij gewoon weer netjes zoals het hoort.

Maar hoe is het in godsnaam mogelijk dat IIS plots stopt?

In de logscripts zie ik wel iets van een GET /default.ida
WHAT THE FUCK is dat?
Dat is namelijk het laatste wat hij heeft gelogd. Daarna is alles gestopt!!!!!! echt heel raar en wazig.

[ Voor 5% gewijzigd door Verwijderd op 16-04-2003 09:20 ]

[Predator]

PNS -> SA

[blackd]

1) Heb je alle updates geinstalleerd? Lockdown?
2) Kijk eens in je eventlog, staan daar relevante entries?

[Verwijderd]

Ik heb inderdaad alles updates geinstalleerd.
Die hou ik iedere keer goed bij.

Die fenomeen is eingelijk zich voor gaan doen toen ik de smtp-service van IIS aanzette. Maar het lijkt me hoogst onwaarschijnlijk dat die het zomaar de hele boel stopt. toch?

welke relevante entries bedoel je? zoals?

[avon]

Gisteren zag ik hier ook wat vreemds van ISS

nml in de Windows fonts directory was een progje (sidewinder) geplaatst.
Dit was een serv-u ftp server, bij het benaderen van die directory probeerde hij het
automatisch te openen. Ook was de virus scanner service gestopt.

Waarschijnlijk via de ADMIN$ share, het betreft een Win NT 4.0 server
met ISS 4.0 (wel gelockdown'd)

[ Voor 20% gewijzigd door avon op 16-04-2003 09:29 ]

[blackd]

Verwijderd schreef op 16 April 2003 @ 09:27:
welke relevante entries bedoel je? zoals?

Geen idee, misschien staat er *iets* over het stoppen van die service in je eventlog waardoor je meer te weten komt.. Logfiles van IIS zelf zeggen dus vrij weinig.

AvOn schreef op 16 april 2003 @ 09:28:
Ben er nog niet helemaal uit hoe iemand dit voor elkaar kan krijgen

Was hij up to date?

[ Voor 24% gewijzigd door blackd op 16-04-2003 09:29 ]

[avon]

Jep, alleen op een of andere manier zijn er toch nog wel exploits om service's te stoppen.

Ga nu proberen een soort simulatie van dit uit te voeren.

[Verwijderd]

In myn event viewer heb ik de volgende dingen ontdekt.

"The server was unable to read the file C:\WINNT\help\iisHelp\common\404b.htm. The file does not exist."

En dat staat er wel duizend keer.
Verder daarvoor staat daty een automatische update niet helemaal lekker is verlopen.
Deze ga ik nu als nog handmatig doen.
Na deze melding, van dat hij die file niet kan vinden, geeft hij dit aan:

"The IIS Admin Service service terminated unexpectedly. It has done this 3 time(s). The following corrective action will be taken in 0 milliseconds: No action. "

De common directory heb ik inderdaad leeg.

[avon]

ga is via de command line naar je C:\windows\fonts map
en tik daar is in dir -ah *.
Krijg je dan een hidden directory te zien?

[Verwijderd]

Daar staan geen directories.
Alleen de *.ttf en *.fon
meer niet

Ik heb zojuist de updates die hij niet automatisch had geinstalleerd als nog neergezet, maar deze hebben niets te maken myn me IIS. Tenminste als ik de omschrijving van de update's mag geloven.

Ik vind het echt heel vaag joh dat iis zomaar leuk vind om alles service te stoppen.
Het kan me niet voorstellen dat hij op zijn bek gaat om dat hij sommige helpfiles niet kan vinden, deze helpfiles heb ik al maanden geleden gedelete(beveiliging onnodig dus PLEITE). Het fenomeen dat hij zomaar services stopt komt pas 2 weken voor dus dat van die helpfiles kan het denk ik niet zijn.

Wazig hè

[ Voor 83% gewijzigd door Verwijderd op 16-04-2003 10:01 ]

[Arnaud]

Kijk eens wat er met het geheugen van je webserver gebeurt in de loop van de week (CTRL+SHIFT+ESC). Ik heb het vermoeden dat je geheugen volloopt door "gebouncede" mail.

Je kunt de kwaal bestrijden door:
De timeouts van je mailserver aan te passen (=genezen),
m.b.v. "at" iedere nacht "C:\WINNT\System32\iisreset.exe" uit te laten voeren (=pijnbestrijding),
voor de "IIS Admin Service" bij "Recovery" "C:\WINNT\System32\iisreset.exe" als run-file-actie te gebruiken (=pijnbestrijding).

[Verwijderd]

gebouncede mail heb ik niet echt. alle mails zijn keurig netjes gestuurd.
de 11e is voor het laatst gemaild, en perfect gegaan.

Maar iis resetten is niet echt een oplossing lijkt me.
Iis moet het toch kunnen volhouden een hele tijd??

hahaha kijk het blijft een microsoft produkt dat begrijp ik , maar lijkt me niet dat het de bedoeling is om iis steeds 's nachts te resetten.
Je zegt er ook nadrukkelijk by pijnbestrijding haha

[avon]

Zelf heb ik 4 ISS servers 24/7 draaien, varierend van 6 maand tot 1 week online

Af en toe zie je in de logs dat er een kiddy met script bezig is geweest. (default.ida en
dat soort shit)

Maar die installatie in die font directory is tot nu toe nog wel het meest noemens waardig,
verder ben ik er erg tevreden over!.

[Verwijderd]

inderdaad hoop van die gasten die dingen proberen.

Dat van die fontdirectorie heb ik nog niet gehad.

Ik weet echter nog niet helemaal wat het is, maar ik ga zekers wel de event viewer in de gaten houden.
Die spontane stops vind ik toch niet echt kicke.

we zullen zien wat het is.
Ik hou jullie op de hoogte.

[rig0r]

Weet je zeker dat je goed gepatched bent, de GET /DEFAULT.IDA lijkt op Code Red, of misschien een afgeleide ervan. Dat het ding zomaar stopt lijkt me zeer verdacht. Ik zie deze infectie poging ook regelmatig in m'n logs (maar dan Apache).

Zie ook hier.

[Verwijderd]

Hoi mensen,

Ik heb het vanochtend, nadat ik eindelijk die KUT trein verlate heb, op onderzoek gegaan op naar die CODE RED, zoals rig0r beschreef.

Die Code Red doet ongeveer wat er dus ook bij mij is gebeurd. Tenminste dat denk ik dat hij een poging doet, want iedere keer als die GET /DEFAULT.IDA in me logs staat dan gaat hij of wel of niet plat.
haha maar om het nog ff verwarrend te maken ZODRA IIS wel Stopt dan is het laatst gelogte die GET /DEFAULT.IDA

Ik heb sp2 geinstalleerd en de update patches zijn alleen uitvoerbaar in sp1, dus met andere woorden ik heb de patches al. (server draaid op Server 2000 Proffesional).

Weet iemand misschien wat ik tegen dit enorm rare fenomeen kan doen.
Is het nu wel of niet die worm die me aan valt?
(Cmd.exe heeft hij niet gekopieerd dat is 1 van de acties die de worm zou uitvoeren)

Erg maf
Please HELP hahahahaha een SOS roep ;-)

[rig0r]

Heb je eigenlijk al gescanned op virussen/worms/backdoors etc.

Zoek maar es op Google, lijkt toch sterk op Code Red.

[gorgi_19]

Draai dan ook gelijk de IIS lockdown tool.

[Arnaud]

Ik heb inderdaad alles updates geinstalleerd.
Die hou ik iedere keer goed bij.

en

Ik heb sp2 geinstalleerd en de update patches zijn alleen uitvoerbaar in sp1, dus met andere woorden ik heb de patches al. (server draaid op Server 2000 Proffesional).

Ik denk dat het tijd is voor een lesje "how to keep windows safe"

pre 1. Je hebt óf Windows 2000 Server, of Windows 2000 Professional. Server 2000 Professional bestaat niet.
pre 2. Als wordt gevraagd of je alle updates hebt geïnstalleerd en lockdown hebt gedraaid dan heeft het geen zin om "ja" te zeggen als "nee" het echte antwoord is.
1. Installeer Service Pack 3 voor Windows 2000. (http://www.microsoft.com/...vicepacks/sp3/default.asp)
2. Installeer alle overige "Critical Updates" via de Windows Update Site. (http://www.windowsupdate.com)
3. Installeer de IIS lockdown tool. (http://www.microsoft.com/...30-47EB-9A61-FD755D23CDEC)
4. Installeer de Microsoft Baseline Security Advisor en volg al het advies wat je daarvan krijgt nauwkeurig op. (http://www.microsoft.com/.../tools/Tools/MBSAhome.asp)
5. Herhaal stap 4 regelmatig.