|
ru.nethack
- RU.NETHACK -------------------------------------------------------------------
From : 3APA3A 2:5020/400 28 Mar 2002 16:55:14
To : Dmitry Teplyakov
Subject : Re: Защита от атак на IIS 5.0
--------------------------------------------------------------------------------
Hello, Dmitry!
You wrote to All on Mon, 25 Mar 2002 07:04:54 +0000 (UTC):
DT> Hi All,
DT> Стоит у меня на Win2k Server SP2 IIS 5.0 (господа гусары - молчать!!
DT> ;))) для внутреннего пользования - обмен файлами между филиалами в
DT> разных городах.
DT> Адреса нигде не афишируются и не рекламируются. Подняты ftp и http.
DT> И при этом в логи постоянно сыпется примерно следующее:
DT> -- ftp --
DT> #Fields: time c-ip cs-method cs-uri-stem sc-status 00:08:16
DT> 217.120.225.184 [15]USER anonymous 331 00:08:16 217.120.225.184
DT> [15]PASS guest@here.com 230 00:08:19 217.120.225.184 [15]MKD
DT> 020214010437p 550 00:08:22 217.120.225.184 [15]MKD 020214010439p 257
DT> 00:08:22 217.120.225.184 [15]RMD 020214010439p 550 00:08:26
DT> 217.120.225.184 [15]closed - 426
А чего ты боишься? 550 это permission denied
Это скорее всего либо autoroot'ер работает или народ ищет халявное место для
обмена фильмами/мпегами.
DT> -- http --
DT> #Fields: date time c-ip cs-username s-ip cs-method cs-uri-stem
DT> cs-uri-query sc-status cs(User-Agent)
DT> 2002-03-23 01:31:04 213.215.27.252 - my.ip GET /scripts/root.exe
DT> /c+dir 404 -
DT> 2002-03-23 01:31:06 213.215.27.252 - my.ip GET /MSADC/root.exe
DT> /c+dir 403 -
DT> 2002-03-23 01:31:12 213.215.27.252 - my.ip GET
DT> /c/winnt/system32/cmd.exe /c+dir 404 -
DT> 2002-03-23 01:31:14 213.215.27.252 - my.ipGET
DT> /d/winnt/system32/cmd.exe /c+dir 404 -
404 - not found
403 - permission denied
Опять же скорее всего червяки типа Code Red.
А вообще, надо:
1. Поставить все последние патчи в 2k/IIS
2. Положить INETPUB на отдельный диск
3. Загасить все неиспользуемые сервера/виртуальные каталоги (особенно те,
которые идет по-умолчанию)
4. Убрать все неиспользуемые маппинги в Home Directory/Configuration в
оставшихся серверах
Microsoft раздает IIS Lockdown Tool и URLScan - для дополнительной защиты
может быть весьма полезно.
/3APA3A
http://www.security.nnov.ru
--- ifmail v.2.15dev5
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
