---

Hej,

Jeg er ikke så erfaren i Apache endnu til, at kunne gennemskue dens
logfiler,
så jeg håber, at I kan hjælpe mig.
Jeg har kun én php-fil (icq.php), som kører på min computer. Der er linket
til
den fra min hjemmeside. Alligevel er der nogle (for mig) mystiske ting i
loggen.
Det kan også være, at det er helt almindeligt. De kommer her i forkortet
form:

212.110.138.242 "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 276
212.110.138.242 "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 274
212.110.138.242 "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
212.110.138.242 "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
212.110.138.242 "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 298
212.110.138.242 "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 315

212.88.158.217 "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 276
212.88.158.217 "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 274
212.88.158.217 "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
212.88.158.217 "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
212.88.158.217 "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 298
212.88.158.217 "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 315
[SNIP mange flere]

For mig ser det ud til, at det drejer sig om to forskellige prosoner, der
forsøger at få adgang til administratorstatus og
en kommandoprompt.

212.110.138.242 kommer fra en internet café i Tyskland
212.88.158.217 er fra Crimean Research Education Centre i Ukraine

Det er jo nok svært at gøre noget ved. Skal jeg bare glemme det?

--
Best regards / Mes meilleures amitiés / Med venlig hilsen
Andreas Kryger Jensen
http://www.compose.subnet.dk
OUT &h64, &hfe

---

"Xylofonius" <xylofonius@hotpop.com> writes:

>Hej,

>Jeg er ikke så erfaren i Apache endnu til, at kunne gennemskue dens
>logfiler,
>så jeg håber, at I kan hjælpe mig.

Det stammer fra folk, der er inficeret med Nimda eller Code Red virus.
Disse forsøger at angribe IIS-baserede Web-servere.
Glæd dig over, at du kører Apache, som er ganske immun overfor
disse angreb.

Jeg fik selv læssevis af disse i min Apache-log, så jeg har sat
den op til at smide det i en separat logfil.

Hilsen
Per

--
Per H. Nielsen <phn@dkscan.dkx>
My Danish Scanner Pages: http://www.dkscan.dk
To reply to this change .dkx to .dk in my address.

---

> Det stammer fra folk, der er inficeret med Nimda eller Code Red virus.
> Disse forsøger at angribe IIS-baserede Web-servere.
> Glæd dig over, at du kører Apache, som er ganske immun overfor
> disse angreb.
Ok tak. Så er jeg mere rolig.

--
Best regards / Mes meilleures amitiés / Med venlig hilsen
Andreas Kryger Jensen
http://www.compose.subnet.dk
OUT &h64, &hfe

---

On Sat, 2 Feb 2002 14:58:21 +0100, "Xylofonius"
<xylofonius@hotpop.com> wrote:
klip
>
>212.110.138.242 "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 276
klip

Det er NIMDA virusen, den er kun en trussel for 'unpatched' IIS
(Windows) servere.
Venlig Hilsen
Kim S. Poulsen