CIO Tech Eksperten IT-JOB IT-Kurser Events Podcast Søg
Cookie ikon
Avatar billede halden Nybegynder
27. oktober 2003 - 23:22 Der er 6 kommentarer og
1 løsning

Resin hackning

Jeg tror sku min server er blevet hacket. Her er et lille udtræk fra min resin-2.1.11 access log:
80.197.232.154 - - [27/Oct/2003:22:10:44 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 186 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:10:44 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 184 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:10:45 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 194 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:10:46 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 194 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:10:47 +0100] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 211 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:10:48 +0100] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 211 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:21 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 186 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:21 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 184 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:21 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 194 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:22 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 194 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:24 +0100] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 211 "-" "-"
80.197.232.154 - - [27/Oct/2003:22:18:24 +0100] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 211 "-" "-"

Nogen der kan hjælpe mig med at tyde det nærmere???
Kan jo se at der er blevet prøvet at køre en kommando promt-men er det lykkedes??? og hvad hvis det er???
Hvad kan jeg gøre for at undgå det???
Avatar billede halden Nybegynder
27. oktober 2003 - 23:26 #1
nogen der kan give mig et link til hvor man kan spore en ip-adresse???
Avatar billede mousekeeperx Nybegynder
27. oktober 2003 - 23:38 #2
Det er formetlig en eller anden maskine der er blevet smittet (og ejeren ikke ved noget), som så prøver at angribe din server. Det ser ud som om det er IIS den primært går efter, men nu ved jeg jo ikke hvor mange linier af den sklags du har i loggen.

De linier du har sendt viser i hvert fald ikke at der har været succes hos dig

IP adresser kan du fx tjekke på
http://www.ripe.net/db/whois/whois.html

Det er i øvrigt en tdc ejet ip, så jeg ville nok kontkte deres abuse-afdeling på csirt@csirt.dk

mvh /M
Avatar billede minijensen1 Nybegynder
27. oktober 2003 - 23:39 #3
det er ikke lykkedes med nogle af de ting der .. efter filnavnet som den har prøvet at køre/hente kan du se at der står 404 - det betyder at serveren har meldt "filen ikke fundet" tilbage til personen .. du kan søge efter ipinformationer hos ripe.net og dk-hostmaster.dk - men du får kun noget af vide omkring udbyderen - ikke om selve personen..

det han har prøvet på er at køre nogle filer og kommandoer, som måske kunne være tilgængelige via webserveren - hvilket de så ikke er.
Avatar billede minijensen1 Nybegynder
27. oktober 2003 - 23:43 #4
noget vrøvl jeg skriver at man kan finde ip hos dk-hostmaster.dk ..

tror bare at du skal følge hvad mousekeeperx siger - og så vil jeg hoppe i seng :X

hvis det er den samme ip du får det fra, så kan du jo installere en firewall - og så blokere den pågældende ip deri - så får du ihvertfald ikke fyldt dine logfiler med spam.
Avatar billede halden Nybegynder
27. oktober 2003 - 23:52 #5
tak for det hurtige svar - har skrevet til dem...
Avatar billede lars_resulture Nybegynder
28. oktober 2003 - 00:34 #6
Som mousekeeperx forklarer,
er der tale om forsøg på at hacke en IIS server.
Har har også min web-server log fyldt med disse forsøg.
Jeg selv bruger Lotus Domino og den er helt heldigvis immun overfor deres forsøg.

Nok desværre ret begrænset hvad man kan gøre, da det jo sandsynligvis er en uskyldigs maskine, der bliver udnyttet til hacking forsøget....
Avatar billede mousekeeperx Nybegynder
28. oktober 2003 - 00:51 #7
halden: resin er en glimrende servletrunner - det var den i hvert fald da jeg legede med den sidst - og så er/var den gratis så længe man bare sad og udviklede. PS: Du er sikkert heldig at du ikke benytter iis til http-delen ;-)

Lars: Lotus Domino har jeg ikke noget erfaring med, men jeg kan godt forestille mig at der ikke er ret mange angreb der er rettet specifikt mod den.

På den anden side bør man vel forsøge at hjælpe andre (og i den sideste ende sig selv) - altså sige til dem at de har en virustingest et eller andet sted i maven på deres computer, som halden har gjort (hvis altså tdc kører videre med det). Mange ved slet ikke at der noget galt, og det er sgu blevet noget af et problem efterhånden som alle har rimelig hurtige forbindelser til nettet og fast ip og ingen erfaring med sikkerhed.
Snip snap snude - så er det ved at være sengetid...
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
It-udvikling & AI kurser
Uanset kodesprog, så giver vi dig mulighederne for at udvikle det, du behøver.
Se alle It-udvikling & AI kurser

Flere spørgsmål fra Webservere kategorien

Titel Indlæg Oprettet Seneste aktivitet
HTML-LINKS Af snestrup2000 i Webservere 2 16/11/202415:33 16/11/202418:41
Wordpress fejl Action Scheduler ? Af fimo i Webservere 2 24/10/202410:16 27/10/202412:07
My Cloud Home (hjemme server) Af Erik Hovedskou i Webservere 13 19/10/202419:51 20/10/202419:35
Periodisk lang responstid Af AlbertK i Webservere 3 23/08/202415:54 24/08/202421:48
Yousee Af nu_igen i Webservere 1 08/04/202408:21 09/04/202409:44
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester



Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
I dag 09:44 Mine emails kan pluselig ikke læses af modtagerne, kun uforståelige tal og bogstaver Af gunnarb i E-mail programmer
I går 16:03 Fjern "Seneste" - "Hurtig adgang" Fra Windows 11 - Hvordan ? Af Ikke-ekspert i Windows
23/1214:43 html <Input.. Danske bogstaver Af pjotre i Andet software
23/1214:35 Brænde musik fra usb drev til cd Af Caso i Andet hardware
21/1222:16 Er "OneDrive" et "Must" ? Koster det penge ? Af Ikke-ekspert i Windows
White papers
Flere white papers »


Premium
Teaser billede
Historisk million-bøde får Region Syddanmarks it-direktør til at efterlyse nye GDPR-retningslinjer
Læs mere »
Ser med 'stor alvor' på problemer med vand, varme og manglende kontrol i politiets datacenter
Brugere rammes af Microsoft-fejl: M365-produkter er på mystisk vis blevet deaktiveret
Overblik: Danske it-selskaber strømmer ind mod den centrale storby - og det handler ikke om penge
Se alle »
Computerworld
Teaser billede
Netværkstest: Første mesh-sæt med komplette WiFi 7-features sætter nye rekorder for dækning og hastighed
Læs mere »
Til næste år kommer iPhone 17 – og ifølge rygtestrømmene vil den byde på tre nyheder
Her er dommen: Region Syddanmark skal betale historisk stor bøde for grove overtrædelser af GDPR
Nørgaard: Copilot scorer pænt højt i min kendte 3D-test (Dyrt, Dumt, Dårligt)
Se alle »
CIO
Teaser billede
Dansk headhunter: Dette spørgsmål bliver jeg næsten altid stillet, når jeg forsøger at rekruttere it-folk
Læs mere »
En af verdens største it-distributører dropper samarbejdet med Broadcom: Kunne ikke nå til enighed
Software-selskabernes prisstigninger får nu danske virksomheder til at søge mod open source
AI er et falmende buzzword: Lad mig fluks dele en god og en dårlig nyhed
Se alle »
Job & Karriere
Teaser billede
Microsoft klar med ny direktion for den danske forretning: Her er de nye direktører
Læs mere »
Merete Søby klar med nyt top-job efter pludselig exit fra Schultz: Her er hendes nye job
Linus Torvalds giver russiske Linux-udviklere sparket: Vil ikke have noget med dem at gøre
Dansk headhunter: Dette spørgsmål bliver jeg næsten altid stillet, når jeg forsøger at rekruttere it-folk
Se alle »
White paper
Teaser billede
Sikkerhed uden grænser: Cisco Hypershield
Læs mere »
Sådan gør du: Elektronisk dokumentudveksling i praksis
Governance, Risk & Compliance: Knyt stærke bånd mellem forretning og sikkerhed
SAP: Skab værdi og minimér omkostninger med effektiv dokumenthåndtering
Se alle »

Events
Flere events »
White papers
Flere white papers »
IT-Kurser
Se alle vores it-kurser »