Indtrængen: HTTP_IIS_ISAPI_EXTENSION

Her er Symantecs forklaring på det angrebsforsøg http://securityresponse.symantec.com/avcenter/security/IntruderAlert35/Configure_to_Detect/Integration/NetProwler/netprowler_su9.pol

This signature detects attempts to overflow the buffer in the ISAPI extensions of the IIS server

Det kunne umiddelbart se ud til, at det var et forsøg på at bypasse firewallen. Det kan også være en tilfældig hændelse, der udløste den alarm.

Sådan som jeg læser det har det noget at gøre med en session på en IIS Server... Men hvordan kan jeg få en sådan fejl når jeg ikke har en IIS Server?

Apo

"Once an attacker establishes a session on the web server and causes a buffer to overflow, he/she could perform virtually any function on that server."

Jeg bruger en almindelig PC.

Apo

Det er svært at svare på, lige hvad det er firewallen reagerer på. Måske er det serveren for et site der blevet hacket, den blokerer for http://www.15seconds.com/issue/011030.htm

Firewall vet vel ikke om det finnes en IIS på maskinen så den ragerer bare på de pakker som den mottar.
Det finnes veldig mange automatiserte angrep mot MS IIS. Loggen i min Linux box er full av slike entries. Når man ikke en gang har noen IIS så er det nok sånn sett ikke noe å bry seg om. Er man koplet opp mot internet så vil man noenlunde regelmassig bli utsatt for slike angrep. Ellers når man kjører Linux så er det ganske morsomt å observere at det faktisk, eller i hvert fall tilsynelatende, sitter folk nede i Kina som forsøker å gjette seg fram til passord for remote pålogging i timesvis.

Hvis man kun kjører arbeidsstasjoner og ingen servere så vil man kunne ha stor nytte av en liten hardware firewall som filterer bort all slik trafikk før den rekker fram til PC'ene. Det blir langt roligere og man slipper alle disse alarmene fra software firewallen.

Tak for svarene...

Så det er måske en hacker der har forsøgt at liste sig ind, men er blevet opdaget af min firewall der lossede 'hoveddøren' tilbage i hovedet på ham?

Forevernewbie > Smid et svar så deler jeg pointene mellem jer :-)

Apo

Ok, kommer her. Ja, firewallen lukkede heldigvis af for skidtet, hvad det så end var ;)

Nej, først her *S*

Forevernewbie > NIS' firewall har efterhånden reddet mig fra mange angreb, men derfor skal man jo stadig være på vagt (En dag lykkes det måske én at komme forbi :-/)

Jeg takker for svarene, og giver points :-)

// Lukker

Apo