Avatar billede xodeus Novice
15. juni 2004 - 17:41 Der er 6 kommentarer og
2 løsninger

Mærkelige ting på min IIS.

Hej. Jeg har kigget logfilerne igennem for min IIS og her er et uddrag af den:
19:58:55 80.62.33.225 GET /scripts/root.exe 404
19:59:00 80.62.33.225 GET /MSADC/root.exe 404
19:59:08 80.62.33.225 GET /c/winnt/system32/cmd.exe 404
19:59:13 80.62.33.225 GET /d/winnt/system32/cmd.exe 404
19:59:20 80.62.33.225 GET /scripts/..%5c../winnt/system32/cmd.exe 404
19:59:25 80.62.33.225 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 500
19:59:29 80.62.33.225 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 404
19:59:37 80.62.33.225 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 404
19:59:41 80.62.33.225 GET /scripts/..Á../winnt/system32/cmd.exe 404
19:59:47 80.62.33.225 GET /scripts/winnt/system32/cmd.exe 404
19:59:52 80.62.33.225 GET /winnt/system32/cmd.exe 404
19:59:57 80.62.33.225 GET /winnt/system32/cmd.exe 404
20:00:01 80.62.33.225 GET /scripts/..%5c../winnt/system32/cmd.exe 404
20:00:07 80.62.33.225 GET /scripts/..%5c../winnt/system32/cmd.exe 404
20:00:12 80.62.33.225 GET /scripts/..%5c../winnt/system32/cmd.exe 404
20:00:17 80.62.33.225 GET /scripts/..%2f../winnt/system32/cmd.exe 404
20:12:02 80.62.33.225 GET /scripts/root.exe 404
20:12:07 80.62.33.225 GET /MSADC/root.exe 404

og her er uddrag fra RIPE:

route:        80.62.0.0/15
descr:        TDC Tele Danmark
origin:      AS3292
remarks:      +---------------------------------------+
remarks:      | For abuse and security issues contact |
remarks:      | csirt@csirt.dk, http://www.csirt.dk  |
remarks:      +---------------------------------------+
notify:      notify@ip.tele.dk
mnt-by:      AS3292-MNT
changed:      auto-ripe@ip.tele.dk 20010701
changed:      auto-ripe@ip.tele.dk 20010813
changed:      auto-ripe@ip.tele.dk 20020711
changed:      auto-ripe@ip.tele.dk 20020730
source:      RIPE

role:        AS3292 Staff
address:      TDC Net
address:      Sletvej 30, A039
address:      DK-8310 Tranbjerg
address:      Denmark
phone:        +45 50 12 29 47
e-mail:      staff@ip.tele.dk
trouble:      staff@ip.tele.dk
admin-c:      MILY1-RIPE
admin-c:      NINA1-RIPE
tech-c:      NCB1-RIPE
tech-c:      MILY1-RIPE
tech-c:      HV72-RIPE
nic-hdl:      AS5071-RIPE
mnt-by:      AS3292-MNT
changed:      staff@ip.tele.dk 19990223
changed:      staff@ip.tele.dk 20030326
changed:      staff@ip.tele.dk 20040601
source:      RIPE

Hvad er det lige der er sket på min PC og hvorfor er det lige TDC der kigger??

Venlig hilsen

XoDeus
Avatar billede strych9 Praktikant
15. juni 2004 - 17:44 #1
Det er ikke TDC der kigger. Det er en TDC kunde.

Det der sker er at du bliver gennemsøgt for en række kendte sikkerhedsbrister. Sandsynligvis af en Internet orm, så lad være med at tage det personligt.
Avatar billede xodeus Novice
15. juni 2004 - 18:02 #2
Det vil sige at det ikke er noget jeg skal tage mig i agt af??
Personen har vel ikke fået fat i nogle infromationer på min PC eller hvad??
Avatar billede strych9 Praktikant
15. juni 2004 - 18:06 #3
Næh der sker ikke noget ved det så længe du altid har de seneste sikkerhedsopdateringer på dit styresystem. I dit tilfælde skal du bare besøge windowsupdate jævnligt.
Det er bare en "probe" som du er blevet udsat for. Der står inficerede maskiner rundt omkring og afsøger nettet alle døgnets timer. De kan ikke skade din comp eller finde information hvis bare du er sikkerhedsopdateret og ikke har lavet nogle helt umulige lempelser i dine sikkerhedsindstillinger.
Avatar billede bufferzone Praktikant
15. juni 2004 - 18:18 #4
Det ligner Nimda, men alligevel ikke. derer noget mere på end der plejer.

Jeg ville straks gøre følgende.

Installere en personlig firewall, f.eks. sygate den indbyggede i XP er ikke meget værd, især ikke over for den slags angreb.

Sætte rettigheder på CMD.exe (kun administrator skal have rettigheder til denne, ikke system) Husk at den findes i to versioner på dit system, og der skal sættes rettigheder på begge. brug søg funktionen til atfinde dem.

Kør IIS lockdown tool (Kan downloades fra MS)

Kør MS baseline security analyser og følg de råd der gives (Kan downloades fra MS)

Moniter nøje hvad der sker
Avatar billede xodeus Novice
15. juni 2004 - 18:26 #5
<SNIP>
Sætte rettigheder på CMD.exe (kun administrator skal have rettigheder til denne, ikke system) Husk at den findes i to versioner på dit system, og der skal sættes rettigheder på begge. brug søg funktionen til atfinde dem.</SNIP>

Jeg har kun fundet en i C:\Windows\System32\CMD.exe jo også er der en der ligner c:\Windows\Prefetch\CMD.EXE-087B4001.pf

Hvordan sætter jeg admin rettigheder på disse filer?
Avatar billede bufferzone Praktikant
15. juni 2004 - 18:56 #6
finder filen, højreklikker vælger egenskaber. klik fanebladet sikkerhed, og fjern rettigheder for alle andre end administratoren. Gør det også for den i windows/prefetch

Det man skal være opmærksom på her er at en god hacker, sagtens kan finde på at kommuflere sig bag noget der ligher en harmløs gammel orm
Avatar billede xodeus Novice
15. juni 2004 - 19:09 #7
Kan ikke finde det tab:
se http://xodeus.dyndns.dk/skole/cmd.jpg
Avatar billede strych9 Praktikant
15. juni 2004 - 19:13 #8
Hvis det er winxp så skal du slå simpel fildeling fra. Ellers er der ikke noget sikkerhedsfaneblad.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester