[apache] Loopt vast waarneer iemand naartoe surft

[Verwijderd]

Ik heb hier een webservertje staan met apache/mysql/php en daar draait een forum op.

Tot voor kort werkte alles nog gewoon goed, ook vandaag nog alleen ineens krijg ik vanmiddag iets vreemds.

Zodra iemand naar lauwsplace.com of lauwtje.xs4all.nl gaat geeft apache bij mij de volgende standaard foutmedling:

Apache.exe heeft fouten gegenereed en wordt gesloten door Windows. U dient dit programma opnieuw te starten.

Er word een foutenlogboek gemaakt.

Ik heb eerst geprobeerd apache te repareren maar dit hielp niks. Toen maar ff apache geuninstalled en opnieuw geinstalleerd, nog steeds hetzelfde probleem. (opnieuw opstarten hielp ook niet). Ik weet nu niet echt wat ik hier aan kan doen vooral omdat ik de oorzaak niet weet, het was gewoon ineens...

Dit viel me wel op in de error.log file van apache:

code:

[Sat Mar 20 05:48:15 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/root.exe
[Sat Mar 20 05:48:15 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/msadc/root.exe
[Sat Mar 20 05:48:15 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/c/winnt/system32/cmd.exe
[Sat Mar 20 05:48:15 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/d/winnt/system32/cmd.exe
[Sat Mar 20 05:48:15 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..%5c/winnt/system32/cmd.exe
[Sat Mar 20 05:48:16 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/_vti_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sat Mar 20 05:48:16 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/_mem_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sat Mar 20 05:48:16 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/msadc/..%5c/..%5c/..%5c/..Á/..Á/..Á/winnt/system32/cmd.exe
[Sat Mar 20 05:48:16 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..Á/winnt/system32/cmd.exe
[Sat Mar 20 05:48:16 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..À¯/winnt/system32/cmd.exe
[Sat Mar 20 05:48:17 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..Áœ/winnt/system32/cmd.exe
[Sat Mar 20 05:48:17 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..%5c/winnt/system32/cmd.exe
[Sat Mar 20 05:48:17 2004] [error] [client 80.185.115.65] File does not exist: c:/servertools/apache/apache/htdocs/scripts/..%2f/winnt/system32/cmd.exe

Alleen aan de tijd te zien ligt misschien ook weer niet daaraan want vanmiddag om rond een uur of 2 deed die het nog en ik heb verder niks veranderd.

Iemand enig id hoe ik dit kan fixen?

MaNy TNX!

[whoami]

Dit heeft blijkbaar niets met Programmeren te maken.

P&W -> SA dus.

[Verwijderd]

Ok sorry 4 that.

Het kan best dat ik nu iets compleet onzinnigs post maar dit stond in me acces.log van apache

code:

80.185.115.65 - - [20/Mar/2004:05:48:15 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 285
80.185.115.65 - - [20/Mar/2004:05:48:15 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 283
80.185.115.65 - - [20/Mar/2004:05:48:15 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 293
80.185.115.65 - - [20/Mar/2004:05:48:15 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 293
80.185.115.65 - - [20/Mar/2004:05:48:15 +0100] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 324
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 324
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 340
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
80.185.115.65 - - [20/Mar/2004:05:48:16 +0100] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
80.185.115.65 - - [20/Mar/2004:05:48:17 +0100] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 306
80.185.115.65 - - [20/Mar/2004:05:48:17 +0100] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 290
80.185.115.65 - - [20/Mar/2004:05:48:17 +0100] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 290
80.185.115.65 - - [20/Mar/2004:05:48:17 +0100] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307
80.185.115.65 - - [20/Mar/2004:05:48:17 +0100] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 307

Weer datzelfde ip vraagt allemaal bestanden op die een gewone gebruiker niet zal GET'en.. Misschien iemand kwaadaardige bedoelingen in duitsland Kweet het niet hoor ik zeg maar wat ik denk want ik weet verder ook niet waar het aan ligt of wat ik eraan kan doen

[ Voor 5% gewijzigd door Verwijderd op 20-03-2004 17:34 ]

[serhat]

mij lijkt het erop dat iemand je apache probeert te exploiten..
of kijkt eventueel of je de bug hebt?
Weet het niet zeker... maar daar lijkt het op

Serhat

[Verwijderd]

Uhh wat is exploiten? Ben nog een n00b op het gebied van apache e.d. En nog belangerijker wat kan ik hier tegen doen Ik had naar mijn weten namelijk al de nieuwste versie van apache.

[Splash]

al gescanned op virusseb
[edit]n
?

[Verwijderd]

Er staat een norton antivirus pakketje 2003 op die zichzelf constant up2date houd en ik heb idd net ff een full system scan gedaan maar geen virussen gevind..

[jan-marten]

Ik zou dat IP adres blokkeren als dat mogelijk is (apache/firewall/router).

Probeer eerst weer eens op een intern netwerk de site draaiende te krijgen en dan weer eens verder zien?

[Verwijderd]

Dat is dus het probleem Hoe kan ik dit fixen zonder een format c Hij blijft die fout maar geven zodra ik me site bezoek, lokaal en interlokaal. Het is gewoon zo dat zodra apache wat moet doen een fout geeft. Hij sluit niet af ofzo hij stappelt gewoon de foutmeldingen opelkaar.

[Verwijderd]

Iemand probeert volgens mij via apache controle over je systeem te krijgen. (Of het is hem/haar al gelukt). Het ziet er naar uit dat het get commando wordt gebruikt om toegang te krijgen tot je command prompt.

Gebruik je de nieuwste versie van apache?

Een exploit is trouwens gebruik maken van een fout in de software om zo bijv. toegang tot je systeem te krijgen.

[Verwijderd]

apache_1.3.29-win32-x86-no_src had ik geinstalleerd. Kan ik ook zien wat die heb gedaan ofzo? Ik wil ut fixen maar dunno how

[G33rt]

Zoals al gezegd (maar je hebt het nog niet gedaan): gooi 80.185.115.65 eens ergens in een deny lijst. Hij wil voor zover ik zie de dirlisting van je C:\ opvragen...

[Verwijderd]

Hmmz ok ga ik proberen maar dat helpt lijkt mij niet voor die foutmelding ?

Ik kreeg van iemand anders te horen dat dit een code red worm kan zijn en dat die voor speciafiek voor iis is, dan zou ut dus een andere oorzaak moet zijn

Maarjah zal ff dat ip blocke..

[Icey]

Trek je van die dingen niet zoveel aan, voor zover ik het 123 zie zijn het allemaal van die standaart iis scripts om ongepatchte bakken down te halen. Als Apache user heb je hier geen last van.

Achter al die errors staat een 404 = foutmelding, niks aan de hand dus. Het zou pas erg zijn als hij wat met die commandos zou doen

[LinuX-TUX]

Misschien dat ze geen kwaad kunnen idd, maar het is dan nog steeds wel vervelend dat die bak down gaat (dus het heeft dan wel lullig effect gegenereerd)

Misschien maar Apache-2.0.49 proberen

Om te zien wat er gedaan is moet je in de logs kijken (access.log met name, bij error zie je alleen maar de mislukkingen) of hij er wel doorheen gekomen is, alles wijst er tot nu toe op dat het alleen maar een probeersel is geweest. IP Blocken en goed antivirus/anti-spyware een keertje draaien.

[Verwijderd]

LinuX-TUX schreef op 20 maart 2004 @ 23:30:
Misschien dat ze geen kwaad kunnen idd, maar het is dan nog steeds wel vervelend dat die bak down gaat (dus het heeft dan wel lullig effect gegenereerd)

Misschien maar Apache-2.0.49 proberen

Om te zien wat er gedaan is moet je in de logs kijken (access.log met name, bij error zie je alleen maar de mislukkingen) of hij er wel doorheen gekomen is, alles wijst er tot nu toe op dat het alleen maar een probeersel is geweest. IP Blocken en goed antivirus/anti-spyware een keertje draaien.

Die nieuwste apache heeft hetzelfde probleem. De webserver opzich werkt wel gewoon alleen zodra die .php moet laden loopt het fout. Ik weet verder niet wat ik hier aan kan doen dus word maar een format c

[elevator]

Installeer je PHP eens opnieuw - en dan met name, zorg er eens voor dat je php4ts.dll wel in je %systemroot%\system32\ staat, en *nergens* anders.

Het klinkt mij meer als een 'mod_php' en php versie mismatch in de oren dan iets anders

[Verwijderd]

Ik heb alles al een keer opnieuw geinstalleerd, ook php en alles gechecked maar blijft hetzelfde gezeik, ben nou al aan het formatten. Als alles weer werkt maak ik wel een image want dit sux

[Verwijderd]

Ok nu begrijp ik het dus helemaal niet meer. Ik format gedaan, alles opnieuwe geinstalleerd, alles de nieuwste versie, dus apache2 e.d. gaf weer de zelfde fout. Ik denk wtf Dus naja dan maar weer format en gewoon proberen de versies waarmee alles gewerkt heb en stapje voor stapje gedaan. Ik alleen apache geinstalled met verder nog helemaal nix en geeft ookalweer dezelfde fout

Het zal wel iets superdoms zijn maar hier kom ik dus nooit uit he. HeLLUP!!

voor elke bruikbare post

[R_W]

code:

### anti-worms  
<IfModule mod_alias.c>  
RedirectMatch permanent .*/scripts/root.exe.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*/MSADC/root.exe.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*system32/cmd.exe.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*MSOffice/cltreq.asp.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*_vti_bin/owssvr.dll.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*_vti_bin/shtml.exe/_vti_rpc.* http://www.midominio.com/error-worms.html  
RedirectMatch permanent .*_vti_inf.html.* http://www.midominio.com/error-worms.html  
</IfModule>

Dit kwam ik hier tegen:
http://www.netfilia.com/c...om/banners/infojobs.phtml

Kijk ook hier 'ns:
http://archives.neohapsis...cidents/2001-09/0312.html

[ Voor 7% gewijzigd door R_W op 22-03-2004 00:18 ]

[Verwijderd]

Het blijkt idd nix met een worm/hack poging te maken te hebben. Dit is best wel een probleem geweest. Ik heb de primeur ik kan jullie vertelen dat veel sofware in 2059 niet meer gaat werken b.v. apache norton antivirus 2003

Ik was na de 2e format norton weer aan het installeren en hierbij viel mij op dat deze tijdens de installatie een error gaf bij het berekenen van de registratie periode (1 jaar na het installeren). Dit gebeurde de 1e keer ookal maar verder d8 ik van het zal wel... Nu zat ik daar een tijd over te denken en toen d8 ik ineens aan de tijd Dus ff bios ingegaan en jaar hoor 22 maart 2059 Zal wel iets mee te maken hebben dat bij ons pas het stroom is uitgevallen. Dus ik dit terugveranderd en alles deed weer werken

TnX voor alle replies