angriff über port 80???

[Rasta]

Also ich habe bei mir den Apache WEB-Server installiert und habe in meiner "access.log" des öffteren einige Logs die mir sehr verdächtig aussehen da sie aber meistens mit 404 enden habe ich sie aber nie ernst genommen kann mir denn vieleicht jemand etwas darüber erklären was der Angreifer damit bezwecken will? Also wie auch ein solcher Angriff funktionieren soll. Und wie kommen z.B CONNECT zustande per Browser gibt es ja nur GET und POST.

Hier einige Beispiele von LOGS:


" CONNECT 206.169.75.68:5190 HTTP/1.0" 200 3941"

" GET /.hash=e96351d94b43fb366068d4a9b5d427f04984ca1r HTTP/1.1" 404 22 "

" GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 10 "

" GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucb d3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 400 337 "

[Freddy]

ähm..... das sieht mir ganz nach einem hack versuche aus der net geklappt hat...... ich bin mir nicht ganz sicher aber es sieht so aus als hättest du eine IIS sicherheitslücke. Aber ich wo ich mir 100% sicher bin, da hat dich jemand angehäckt.

[MoRtAlAn]

mh... sieht eher nach nem Wurm aus...

Code Red glaube ich ?!

gruss

[wahsaga]

ich bin mir nicht ganz sicher aber es sieht so aus als hättest du eine IIS sicherheitslücke.

wenn er einen apache betreibt kann er dadurch ja wohl kaum eine iis-sicherheitslücke offen haben :-)

das wird einfach einer dieser würmer sein, die sich auf den iis 'spezialisiert' haben, der scannt halt wahllos ips und versucht einen iis zu finden, der verwundbar ist.

[Freddy]

ja sorry war mir ja da net so sicher aber mit dem wurm könnten man das prob gefunden zu haben.

[Rasta]

Ja danke erst mal
also das mich versucht hat zu häcken war mir auch klar nur ob man da eine chance hat weis ich halt nicht also ob ich mir sorgen machen muss.

[bohni]

da hat nur einer versucht, auf die eingabe-konsole von win2000 (cmd.exe)zu gelangen, mittels versuchten flooding.
da du aber nen apache laufen hats, gibt es da keine cmd.exe - also erstmal keine gefahr.

[Pleitegeier]

das isn iis scan und das is schon 'normal', meine log is auch voll mit dem mist, das ist aber noch kein angriff, sonder eher vorbereitung, aber wie oben gesagt, beim apache brauchste dir keinen kopf machen...bei iis sollte man schon über nen security patch nachdenken, um den unicode bug auszuschliessen...

greetz