Drukowana wersja tematu
Kliknij tu, aby zobaczyć temat w orginalnym formacie
Forum PHP.pl _ Hydepark _ Czy to oznacza skuteczną próbe włamania?
Napisany przez: spenalzo 10.12.2003, 02:55:27
[Sun Dec 07 22:48:48 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/msadc/root.exe
[Sun Dec 07 22:48:50 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:52 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/d/winnt/system32/cmd.exe
[Sun Dec 07 22:48:54 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:56 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/_vti_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:58 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/_mem_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:49:00 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/msadc/..%5c/..%5c/..%5c/..Á /..Á /..Á /winnt/system32/cmd.exe
[Sun Dec 07 22:49:01 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..Á /winnt/system32/cmd.exe
[Sun Dec 07 22:49:05 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..ŔŻ/winnt/system32/cmd.exe
[Sun Dec 07 22:49:07 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..Áś/winnt/system32/cmd.exe
[Sun Dec 07 22:49:13 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:49:14 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%2f/winnt/system32/cmd.exe
Takie coś dzisiaj znalazłem w logach - czy to oznacza skuteczną próbe włamania? Wydaje mi sie że nie.. ale nie wiadomo.
O ile "włąmanie" nie jest tu za mocnym słowem...
Napisany przez: eldad 10.12.2003, 06:54:42
Nimda szuka ISS-a
http://www.cert.org/advisories/CA-2001-26.html
eldad
Napisany przez: Bakus 10.12.2003, 10:26:59
Przy okazji tematu ataków:
Czy istnieje jakiś sposób na sprawdzenie, czy firewall i antywirus jakie mam są skuteczne?
Wiem, że symantec ma takie testy na swoich stronach, ale korzystam z ich oprogramowania, i wydaje mi się, że wyniki testów są przekłamane...
Polecicie coś?
Napisany przez: enceladus 10.12.2003, 10:56:36
Czy istnieje jakiś sposób na sprawdzenie, czy firewall i antywirus jakie mam są skuteczne?
Wiem, że symantec ma takie testy na swoich stronach, ale korzystam z ich oprogramowania, i wydaje mi się, że wyniki testów są przekłamane...
Polecicie coś?
Nigdy nie będziesz w 100% pewien że jesteś bezpieczny. Zawsze może znaleźć się ktoś kto ominie aktualne zabezpieczenia i żaden firewall i antywirus nie pomogą. Oczywiście jest to sytuacja extremalna
. Nie rozumiem jak chcesz sprawdzać skuteczność antyvira - wydaje mi się że jeśli wirus jest w bazie to powinien go wykryć i tyle - wystarczy aktualizować bazę.
Aby się dobrze zabezpieczyć proponuję postawić bramę na linuxie, wyłączyć na niej wszystkie usługi sieciowe od strony WAN, po stronie LAN zostawić tylko proxy www, wyłączyć forwarding a zamiast niego zostawić redirecty tylko do wymaganych usług
. Do tego jeszcze można logować wszystkie pakiety przychodzące z WAN-u a potem je oglądać - metoda paraniodalna.
Napisany przez: Bakus 10.12.2003, 12:12:07
faktycznie...
Aczkolwiek, czy istnieje jakaś alternatywa dla testów symanteca?
Chcę wiedzieć, czy chociarz przed początkującymi się obronie...
Napisany przez: enceladus 10.12.2003, 12:42:58
Daj URL-a do tych testów bo za bardzo nie wiem co chcesz testować
A od siebie polecam poszukanie możę jakichś testów/porównań na securityfocus.com (aczkolwiek ich Symantec też kupił
)
Napisany przez: Fo 10.12.2003, 13:14:10
spen, dla mnie to wyglada jakby cie ktos nmapem macal pod katem uslug... hmm chociaz nie.. no za duzo konkretnych wywolan cmd ale szkoda ze tam nie widaz z jakim parametrem te wywolania... bynajmniej jak dla mnie jesli mialby byc to jakis atak to niestety sie nie powiodl..... a raczej cale szczescie 
Napisany przez: Bakus 10.12.2003, 13:40:52
http://security.symantec.com/sscv6/home.asp?j=1&langid=ie&venid=sym&plfid=22&pkj=TQJCCVGZBZTVOGXFSTZ
Chodzi o skanowanie komputera na jego podatność względem ataków...
Napisany przez: enceladus 10.12.2003, 14:08:22
Chodzi o skanowanie komputera na jego podatność względem ataków...
Obejrzalem - taki prosty, mily dla oka nmap
Jeśli chcesz poskanować trochę bardziej dokładnie poczytaj o narzedziach typu Saint, jesli zas chodzi o antyvira, to jest zwykły skaner online, taki jak ma np. tez MKS - nic nadzwyczajnego, a daje afekt marketingowy
Napisany przez: spenalzo 10.12.2003, 14:52:03
Hmm... przejrzałem sobie logi i widze że takich prób było więcej i o dokładnie takiej samej postaci - więc to może być jednak wirus - na szczęście nie ma IIS tylko Apache 
Napisany przez: enceladus 10.12.2003, 14:57:47
Zapomniałe dodać że to w 100% wirus na IIS
.
BTW, kiedyś z ciekawości logowałem ruchu z internetu wywołamy przez MS Blasta.... zrezgnowałem po chwili bo logi rosły w zastraszającym tempie
. Nie warto się czymś taki zupełnie przejmować. Najlepiej serwery developerskie w ogole nie wystawiać do netu - chyba ze trzeba.
Napisany przez: Bakus 10.12.2003, 20:47:20
Z ciekawości zacząłem przeglądać logi NIS'a, który strzee mojego "serwerka"...
90% logów, to próby dostępu przez port 135... A podobno misrosoft wydał poprawkę...
Czy ludzie nie pojmują zagroeń jakie czychają na nich w sieci?
Napisany przez: enceladus 10.12.2003, 20:58:40
Kiedyś zapuściłem jeszcze logowanie KAŻDEGO pakietu który idzie w stronę domen związanych z MS (skrypt mi wybrał z whois-a). Aplikacje MS czasem starają się łączyć z serwerami, np. media player
, kiedyś sprawdzę co się dzieje przy instalacji winXP juz teraz wiem że łączą się do serwerów czasu MS, niby drobiazg a ile statystycznych informacji można z tego wyciągnąć 8)
Wielki Brat patrzy.
Napisany przez: POLVIP 10.12.2003, 21:19:26
najlepszym sposobem na zabezpieczenie jest dobra firewall i wszystkie update zainstalowane na czas
na windows xp sadze ze ZoneAlarm Pro 4.5 jest najlepszym wyjsciem z software. Ktoś zna coś innego i lepszego?
Napisany przez: enceladus 10.12.2003, 21:32:04
na windows xp sadze ze ZoneAlarm Pro 4.5 jest najlepszym wyjsciem z software. Ktoś zna coś innego i lepszego?
Jeśli jesteś od początku do końca legalny to spoko
Ale i tak dodatkowy firewall zawsze będzie lepszy od host based firewall. Pomyśl sobie: ktoś bardzo chce włamać się na twego kompa. Rozpoznaje jakiego masz firewall-a, pisze trojana który może zostać przez Ciebie z jakichś powodów uruchomiony, ewentualnie robi stronę na którą możesz trafić (jak... np. przez to forum
). taki trojan/strona dezaktywują ZoneAlarm ... i co wtedy 
Polecam lekturę książki Mitnick-a.
Dlatego w domu odcięty jestem od netu firewallem na linuxie, dane trzymam na 2-giem maszynie linuxowej a pracuję na lapsie... a i tak wiem że ktoś może się włamać.
Napisany przez: #sigsegv 10.12.2003, 21:54:19
to zwykly skan na ISS'a
Jedyne sensowne rozwiazanie to posiadanie apache
Powered by Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)