[Webserver log] /c/winnt/system32/cmd.exe erg? *

[Verwijderd]

62.195.83.145 - - [28/Oct/2003:22:17:57 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 284
62.195.83.145 - - [28/Oct/2003:22:17:58 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 282
62.195.83.145 - - [28/Oct/2003:22:17:59 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 292
62.195.83.145 - - [28/Oct/2003:22:18:00 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 292


lijkt me niet, maar wat is het?

[dreeke]

Het ziet eruit alsof je nog geen Windows update gedraaid hebt?

[momania]

Is iemand die bepaalde files probeer te openen via je web server?

Hij krijgt overal een 404 dus lijkt mij niks om je zorgen over te maken..

[justmental]

D'r zit gewoon een of andere worm aan je poorten te rammelen, kan geen kwaad als je up to date bent.

[Verwijderd]

Ik heb wel windows updates gedraaid
maaruh, wat probeert men hier?
me server of me PC neerhalen?

edit: virus of vuile hond zonder leven?

[ Voor 18% gewijzigd door Verwijderd op 28-10-2003 22:25 ]

[Genghis Khan]

dreeke schreef op 28 oktober 2003 @ 22:23:
Het ziet eruit alsof je nog geen Windows update gedraaid hebt?

Nee, het is een 404 error die er afgegeven wordt door de server, dus er zijn geen problemen .

Ik heb dit ook met een Apache op een dichte XP-bak die wel eens draait en het is niks om je zorgen over te maken. Het zijn gewoon wormen, andere virussen of script-kiddies die je proberen te exploiten.

[momania]

't is zo te zien wel iemand van chello (waar jij ook bij zit toch? ), je zou eventueel een mail naar chello zelf kunnen sturen ?

[Verwijderd]

OK, tanx, topic closed wat mij betreft, ik hoef me server dus niet uit te zetten (heb vandaag updates gerdaaid

[Verwijderd]

momania schreef op 28 October 2003 @ 22:25:
't is zo te zien wel iemand van chello (waar jij ook bij zit toch? ), je zou eventueel een mail naar chello zelf kunnen sturen ?

lijkt me geen goed idee
ik zie mezelf al aankomen, er probeert iemand vie me server wat eigenlijk niet mag van juullie me comp te slopen

[Joen]

Het zijn zgn. "spiders". Meestal worden ze gestuurd door hackers/crackers om te zoeken naar lekken op je systeem. Vaak hebben dit soort verzoeken wel effect als je Microsoft IIS oid draait en je de boel niet goeg beveiligd hebt

Voor jou is er nu geen ramp dus wat je ook kunt zien aan de 404 meldingen

[Verwijderd]

thankl y'all very much, dan kan ik nu gaan rustig gaan slapen

[blackd]

[google=/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0]
http://www.securityspace.com/smysecure/w32_nmda_amm.html
ongepatchte en dus besmette IIS bak die jouw bak probeert te exploiten.

dreeke schreef op 28 October 2003 @ 22:23:
Het ziet eruit alsof je nog geen Windows update gedraaid hebt?

Hoe kom je daar bij? Als er nou geen 404 achter had gestaan, oke, dan kan ik me er wat bij voorstellen. Maar er is helemaal niets gebeurd. Bovendien is dit een worm voor IIS en is er helemaal niet bekend of de TS uberhaupt IIS draait. Sterker nog, het ziet er naar uit dat dit gewoon Apache is, aan het formaat van de logfile te zien.

Verwijderd schreef op 28 October 2003 @ 22:27:
lijkt me geen goed idee

Lijkt me wel, die bak zit continu andere bakken te scannen en indien ze niet up to date zijn, zijn ze zo geinfecteerd. Lijkt me wel handig om dat te stoppen eerlijk gezegd..

[ThaHandy]

momania schreef op 28 October 2003 @ 22:25:
't is zo te zien wel iemand van chello (waar jij ook bij zit toch? ), je zou eventueel een mail naar chello zelf kunnen sturen ?

idd
[e-mail]?


zal wel een lamer zijn die die probeert "unpatched" server te scannen/zoeken

[Stoffel]

Pff, iedereen die een webserver draait heeft waarschijnlijk zijn logs volstaan met die dingen, ik iig wel. Zolang het geen effect heeft zou ik me er niet druk over maken, en actie ondernemen, tja, beetje nutteloos

[Joen]

FF afkloppe, ik krijg ze niet meer.
En na het beveiligen om CONNECT pogingen tegen te gaan via Apache krijg ik nog minder vreemde meldingen in mn logs.
Nu moet ik ook wel bekennen dat ik er niet meer in zo kijk. Het wordt op den duur toch te veel en saai werk

[F_J_K]

Moet ik hier blij mee zijn?

Nee, ik maak je titel dus maar wat duidelijker

Overigens geef je helemaal geen info over wat je zelf draait aan serversoftware dus zouden we het niet kunnen zegen als je wel een probleem had

offtopic:
Waarom niet dicht ondanks dat er al zat over is te vinden: waarom wel, topic loopt niet slecht

Edit:

CyBeR schreef op 29 October 2003 @ 02:20:
Duidelijk Apache aan de formatting van de log te zien. (Er zijn andere apps die dit soort logs maken, maar mensen die dergelijke apps draaien zijn bekend met het fenomeen Nimda.)

Weet ik Dat ik (en vele anderen) een hele goede gok kunnen maken betekent niet dat het voor iedereen duidelijk is
En verder *eensch is. Een zien of een extra topic in de search wil helpen

[ Voor 43% gewijzigd door F_J_K op 29-10-2003 08:23 ]

[CyBeR]

Duidelijk Apache aan de formatting van de log te zien. (Er zijn andere apps die dit soort logs maken, maar mensen die dergelijke apps draaien zijn bekend met het fenomeen Nimda.)

* CyBeR vraagt zich af waarom voor iedere 6-maanden oude rarigheid in een log een topic geopend moet worden Lijkt op die 'ben ik gehacked?' topics in NT enzo.