nicht angemeldet
Nimbda - Immer noch aktiv
Hallo,
was tun bei andauernden Nimbda/Code-Red Angriffen auf den eigenen Web-Server ?
Habe im letzten Jahr von IIS (uralt 3.0) unter M$ auf Apache unter Linux umgestellt, nach einem Plattencrash von NT (Nein, nicht Nimbda oder Code-Red waren die Ursache, alle entsprechend codierten Angriffe wurden ordnungsgemäß mit 404 beantwortet...).
Trotzdem, auch nach Umstellung von Windows-NT auf Linux und von IIS3 auf Apache, immer noch zu Hauf Angriffsversuche, so zeigt es das Logbuch. Einer der Angreifer ist ganz besonders hartnäckig und versucht's seit Wochen alle paar Minuten (212.55.137.10) mit Zugriff auf "/scripts/cmd.exe?..." etc.
Passieren kann da zwar nichts, aber es macht unnötigen Traffic auf einer 64K Leitung und füllt auch das Logbook. Whois-Suche nach dem Admin und Benachrichtigung per e-mail brachte nichts, möglicherweise sind ja in Portugal gerade Ferien...
-----------------------------------------
WARNUNG: Vor Eintippen der obengenannten IP, unbedingt die höchste Sicherheitsstufe im Internetexplorer einstellen, oder besser noch einen "Skript-unfähigen-Browser" benutzen, sonst ist's direkt passiert. Die Seite wurde offensichtlich gehackt, es wird mit "window.open" ein unsichtbares Fenster geöffnet, wo eine .eml Datei verborgen ist. Darum hier auch vorsichtshalber kein anklickbarer Link.
-----------------------------------------
Auch andere Angriffe kommen aus dem selben IP-Nummern-Bereich (212.55.xxx.xxx), aber das stört nicht so sehr, da viel seltener (1-2 Mal am Tag). Ich kann zwar den Zugriff aus diesem IP-Bereich blockieren, aber der Traffic bleibt natürlich durch die GET-Requests trotzdem erhalten.
Was kann man da wohl tun ?
CU Christoph
-
Hoi,
was tun bei andauernden Nimbda/Code-Red Angriffen auf den eigenen
Web-Server ?Viel tun kannst du da nicht.
Habe im letzten Jahr von IIS (uralt 3.0) unter M$ auf Apache unter
Linux umgestelltDas war schonmal der richtige Schritt ;-)
Trotzdem, auch nach Umstellung von Windows-NT auf Linux und von
IIS3 auf Apache, immer noch zu Hauf Angriffsversuche, so zeigt es
das Logbuch. Einer der Angreifer ist ganz besonders hartnäckig und
versucht's seit Wochen alle paar Minuten (212.55.137.10) mit
Zugriff auf "/scripts/cmd.exe?..." etc.Dann schreibe dem Provider eine Mail. Herausfinden, welchem Provider
die IP gehoert, kannst du bei http://www.ripe.net.Passieren kann da zwar nichts, aber es macht unnötigen Traffic
auf einer 64K Leitung und füllt auch das Logbook. Whois-Suche
nach dem Admin und Benachrichtigung per e-mail brachte nichts,
möglicherweise sind ja in Portugal gerade Ferien...Das einzige, was du noch machen kannst, ist ein RedirectPermanent
auf die URI. Das schraenkt vielleicht den Traffic ein wenig ein.
Am besten natuerlich ist sowas:RedirectMatch /scripts/cmd.exe.* http://www.microsoft.com/your/bugs/spam/my/logfiles
;-)) Wenn das immer dieselbe IP ist, dann kannst du sie auch per
Firewall sperren.Gruesse,
CK -
Hallo Christoph!
Auch andere Angriffe kommen aus dem selben IP-Nummern-Bereich (212.55.xxx.xxx), aber das stört nicht so sehr, da viel seltener (1-2 Mal am Tag). Ich kann zwar den Zugriff aus diesem IP-Bereich blockieren, aber der Traffic bleibt natürlich durch die GET-Requests trotzdem erhalten.
Was kann man da wohl tun ?
Trage einfach eine Paketfilterregel ein. Dann werden Verbindungsversuche gleich an der Netzwerkschnittstelle geblockt (Reduziert den Traffic und sie werden nicht mehr gelogt).
folgendes Kommando eingeben:
ipchains -I 1 input -j DENY -p all -s 212.55.0.0/16 -i eth0 -d 0.0.0.0/0
anpassen ----^^^^Ggfls. in ein Startupscript eintragen, je nach Distribution gibts vielleicht auch schon was vorgedachtes (SuSEFirewall).
Gruss,
Carsten-
Danke Carsten und Christian,
das mit der Paketfilterung werde ich mal versuchen einzubauen. Dann wird wenigstens das Logbuch nicht mehr vollgemüllt.
CU Christoph
Trage einfach eine Paketfilterregel ein. Dann werden Verbindungsversuche gleich an der Netzwerkschnittstelle geblockt (Reduziert den Traffic und sie werden nicht mehr gelogt).
folgendes Kommando eingeben:
ipchains -I 1 input -j DENY -p all -s 212.55.0.0/16 -i eth0 -d 0.0.0.0/0
anpassen ----^^^^
-