[HaBo]
| (In)security allgemein Sicherheit, Anonymität im Netz. Schutz und Maßnahmen. Prävention und Konzepte. Sicherheitsarchitekturen allgemein und auf der Netzwerkebene. |
Apache Log Auswertungen - einiges unklar:
Diskussion: Apache Log Auswertungen - einiges unklar: im Forum (In)security allgemein, in der Kategorie Security Area; Anzeige Ich hab ein wenig meine ApacheLogs meines Hausindianers gecheckt und bin dabei auf ein paar Ungereimtheiten gestoßen: error.log wie ...
 |
05.12.03, 13:00
| #1 (permalink) |
| Guest Likes: |  Apache Log Auswertungen - einiges unklar: Anzeige Ich hab ein wenig meine ApacheLogs meines Hausindianers gecheckt und bin dabei auf ein paar Ungereimtheiten gestoßen: error.log wie einige Einträge in diesem Stil auf: Code: [Tue Apr 1 07:08:00 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe [Tue Apr 1 07:08:04 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/msadc/..%5c../..%5c../..%5c/..Á^\../..Á^\../..Á^\../winnt/system32/cmd.exe [Tue Apr 1 07:08:09 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/..Á^\../winnt/system32/cmd.exe [Tue Apr 1 07:08:17 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/..??../winnt/system32/cmd.exe [Tue Apr 1 07:08:19 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/..Á~\../winnt/system32/cmd.exe [Tue Apr 1 07:08:29 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/..%5c../winnt/system32/cmd.exe [Tue Apr 1 07:08:32 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/..%2f../winnt/system32/cmd.exe [Tue Apr 1 07:20:51 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/scripts/root.exe [Tue Apr 1 07:20:56 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/MSADC/root.exe [Tue Apr 1 07:21:00 2003] [error] [client 217.81.116.77] File does not exist: /srv/www/htdocs/c/winnt/system32/cmd.exe Hier ist noch was schönes: Code: [Sun Nov 23 05:15:42 2003] [error] [client 213.51.28.129] Invalid method in request ?4 [Sun Nov 23 05:16:27 2003] [error] [client 213.51.28.129] Invalid method in request ?4 [Sun Nov 23 05:24:43 2003] [error] [client 80.56.224.242] Invalid method in request ?H [Sun Nov 23 05:25:00 2003] [error] [client 81.240.15.63] Invalid method in request ?` [Sun Nov 23 05:25:26 2003] [error] [client 80.56.224.242] Invalid method in request ?H [Sun Nov 23 05:26:11 2003] [error] [client 80.56.224.242] Invalid method in request ?H Achtung, hier kommt mein Favorit: Code: [Thu Nov 27 22:44:02 2003] [error] [client 211.47.128.139] request failed: erro neous characters after protocol string: GET /NULL.IDA?CCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC%u0aeb%ub890%u898b%u77e8%u0000 %u0000%u838b%u0094%u0000%u408b%u0564%u0150%u0000%ue0ff%u9090=x&\x90\x90\x90\x90 \x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9 [.....vieeeeel mehr davon gekürzt....] e0\xd8\x99\xde\xfc\xed\xc9\xeb\xf6\xfa\xd8\xfd\xfd\xeb\xfc\xea\xea\x99\xea\xeb\ x7f\xee\xa8\xe9\x7f\xee\x99\xfaL\x8e\xbf\x86cmd.exe$ HTTP/1.1  Was mich eigentlich am meisten wundert warum hier jeweils versucht wird eine /EXE/ zu starten. Dass man hier eine Linux Box vor sich hat sollte eigentlich jeder merken.... |
 |
|
05.12.03, 13:09
| #2 (permalink) |
| Member of Honour  Registriert seit: 06.03.03  Likes: 3 | Da hat einer mit einem Vulnerability Scanner gespielt. Vermutlich etwas aus der Reihe Nessus/Xscan. Kannst du getrost ignorieren .. sowas habe ich bei uns ohne ende. mfg p2k |
| |
| HaBOT | - Anzeige - |
|
|
08.12.03, 22:58
| #3 (permalink) |
| Registriert seit: 06.12.03  Likes: 0 | Hi, bei dem ersten Beispiel versucht einer schlicht und einfach Kontrolle über Deinen rechner per Kommandozeile zu bekommen. CMD.EXE kann man nämlich eine Batch-Datei mitgeben. Ich hab mal so nen Spinner Inflagranti erwischt (Die Logs dienen bei meinen IBM-Terminal als Bildschirmschoner). Daraufhin habe ich ihm á la "net send" einen kurzen, bösen Brief geschrieben. Interessanterweise stand die besagte IP nach noch nicht mal 30 Sekunden sinnvolleren Tätigkeiten wieder zur Verfügung  ich warte noch drauf bei so was ein Word-Dokument zu ergattern. Wenn dort keine gefakten Daten eingetragen wurden kann man da eine ganze Menge rausziehen. Vielleicht sogar die Telefonnummer. Da muss ich wohl noch was warten... Schreib Dir ein Script, was Dich darauf aufmerksam macht. Dann kannst Du auch mal probieren Spaß zu haben. Wie ging noch gleich der killer-Ping? gruß Elmar |
|
| |
|
09.12.03, 00:50
| #4 (permalink) | |
| Guest Likes: | @E S Wie meinst Du das mit "CMD.EXE kann man nämlich eine Batch-Datei" mitgeben? Muss man doch garnicht, wenn ich über den Unicode-Bug schon Kontrolle über den Rechner habe, dann reicht mir das, um mir eine "Tür zu öffnen". Und voil?. @beko Ich glaube auch, das das nur ein automatischer Scanner war und läßt sich auch gut belegen an den Logs von Dir: Zitat:
nicht ganz so schnell Befehle ein, schon garnicht bei so langen Befehlen! MfG Rushjo | |
| |
|
09.12.03, 10:13
| #5 (permalink) | |
| Guest Likes: | Zitat:
..aber sag mal, wird nicht gerade net send von immer mehr Providern geblockt wegen der Spamverteilung über das Ding? Außerdem sollte man meinen dass ein typisches Scriptkiddie bereits weiß wo man das Ding abstellt Dass hier ein Scanner am Werk war habe ich ebenfalls schon vermutet. Einfach mal alle Exploits der vergangenen Jahre durchprobieren  ...EXE auf Linuxmaschinen  Danke für die Antworten | |
| |
|
09.12.03, 11:30
| #6 (permalink) |
| Registriert seit: 06.12.03 Likes: 0 | Hi, tja, was soll man den sonnst damit anfangen, zu wissen, wo die cmd.exe liegt? Dass bei den Scripten die Droped-Meldungen so schnell aufeinanderfolgen ist schon klar. Da müsste sich doch was machen lassen. Kann man nicht irgendwas "basteln", dass das erkannt wird und die dazugehörige IP für ein paar Stunden gesperrt wird? Böse Zungen behaupten nämlich, dass eine gewisse Firewall von MS sich so vor bekannten Tools schützt, also den Test dieser Tools mit bravour besteht... Habe ich mal so gehört, ob es stimmt kann ich mir eigentlich nicht denken, aber so etwas würde ja einen zusätzlichen Schutz darstellen. Als ich diesen Angriff erhalten habe hatte ich eigentlichauch gedacht, dass der Depp (im Nachhinein nenne ich den mal so) sich vor Retourkutschen schützen würde. Naja, Spaß muß sein und kostet ja nix. Erinnret mich irgendwie an die gute alte CB-Funkerzeit. Als mich mein Funkgerät durch klappern des Feldstärkezeigers auf einen Brennerbesitzer aufmerksam gemacht hatte habe ich den Lautsprecher eingeschaltet. Toll, ein Trägerdrücker. Die sind irgendwie auf die Stufe zu stellen wie heutzutage die Spammer. Also schnell einen Freund angerufen und eine Kreutzpeilung gemacht. Dann sind wir auch gleich hingefahrn und haben geklingelt. So ein kurzer machte die Tür auf. Daraufhin haben wir uns Spaßeshalber als von der Post ausgegeben, zumal das Auto des bekannten ein ehemaliges Postfahrzeug ist in Originallackierung . Darauf der Kliene: "Meine Eltern sind nicht da!" und schmeist die Tür zu.Schade, dass das mit Spmmern nicht auch funktioniert. Was mich eigentlich viel mehr beunruhigt ist, dass ich mal eine verweigerte Email bekommen habe. Offensichtlich hat da jemand Spam versendet mit meiner emailadresse. OK, nichts neues, aber der hatte sogar meine IP!!! In den Serverlogs war aber nichts zu finden. Weder in den gedroppten Paketen noch in den anderen SMTP / IMAP / POP3 logs. Schon seltsam. Gruß Elmar |
|
| |
|
09.12.03, 12:07
| #7 (permalink) |
| Guest Likes: | ...hum, sowas hatte ich gestern oder vorgestern. Eine ganze Latte Mail delivery errors von meinem(?) Absender an irgendwelche .ru Domains |
| |
|
09.12.03, 16:05
| #8 (permalink) |
| Guest Likes: | @ES Zu voreiliges blocken "irgendwelcher" IPs ist völlig NoGo und ist auch eigentlich völlig unnötig. Bei Logfiles @beko muss man sich nun wirklich keine Sorgen machen. |
| |
|
09.12.03, 16:18
| #9 (permalink) | |
| Guest Likes: | Zitat:
 Ich wollte nur wissen was der Rest der Welt dazu denkt. | |
| |
|
09.12.03, 16:42
| #10 (permalink) |
| Registriert seit: 06.12.03 Likes: 0 | E S Hi, naja, war nur so eine Idee. Nervt halt auf Dauer. Und wenn man dann nur einen Vertrag mit Zeitabrechnung hat, bleibt der Server an. Ich habe zum Glück flatrate, abre naja... Wenigstens weiss ich, warum es keine Tools für so was gibt. Gehört sich also nicht. Was mich an der Mailaktion sehr verwundert hat it, wie die an meine IP gekommen sind. War auch eine ausländische Mail (in englisch). Mailadresse ist keine Kunst, aber Mailadresse und zugehörige IP? Im Mailkopf war aber nicht mein Servername drinn, sondern wirre Zeichen. Aber mein aktuelle IP.Ob da einer meinen mailprovider gehackt hat? Aber da hätten die nicht meine aktuelle IP... Sicherheitslücken bin ich mir auch nicht bewusst. Vielleicht hat jemand eine Mail von mir abgefangen und ausgewertet? Gruß Elmar |
|
| |
|
09.12.03, 19:42
| #11 (permalink) |
| Guest Likes: | @beko Da Dein Rechner ja mit Linux läuft, nimm einfach "PortSentry", der lauscht dann auf einer einzustellenden Anzahl von Ports und führt bei einem Scan dann eine Antwort-Reaktion aus. Dies kann zum Beispiel das befristete Sperren einer IP sein. Hier bekommst Du "PortSentry". Schau Dir mal an, sehr schönes Spielzeug!! MfG Rushjo |
| |
|
| - Anzeige - | |
|
|
[HaBo] » Security Area » (In)security allgemein » Apache Log Auswertungen - einiges unklar:
| Themen-Optionen | |
| Ansicht | |
Linear-Darstellung
| |
Ähnliche Themen | ||||
| Thema | Autor | Forum | Antworten | Letzter Beitrag |
| apache und cgi | Triton | Linux/UNIX | 3 | 22.09.04 23:37 |
| einiges an GB im SChwarzenloch | Versus_01 | Windows | 5 | 30.05.04 22:55 |
| Apache und PHP | thescott | Internet Allgemein | 2 | 15.01.03 14:21 |
| Apache und SSL | mido | Internet Allgemein | 2 | 25.07.02 19:25 |
