[mdk-re] Поломали сервер

[mdk-re] Поломали сервер

[Korshunov Ilya]

Поломали веб сервер (Не ALT, а SCO). На сервере 
жили только apache (последний release) и ftpd запускаемый 
из inetd. В логах апача появились следующие вещи - 
"GET /_vti_inf.html HTTP/1.1" 404 211
"POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
В syslog - пусто.

После чего дефейс сайта. Никто не сталкивался с подобным ? 

--------------------
Best regards, 
Korshunov Ilya

Re: [mdk-re] Поломали сервер

[Igor Homyakov]

OpenServer или UnixWare ?

On Tue, Apr 23, 2002 at 01:21:50PM +0400, Korshunov Ilya wrote:
> Поломали веб сервер (Не ALT, а SCO). На сервере 
> жили только apache (последний release) и ftpd запускаемый 
> из inetd. В логах апача появились следующие вещи - 
> "GET /_vti_inf.html HTTP/1.1" 404 211
> "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
> В syslog - пусто.
> 
> После чего дефейс сайта. Никто не сталкивался с подобным ? 
> 
> --------------------
> Best regards, 
> Korshunov Ilya
> 
> _______________________________________________
> Mandrake-russian mailing list
> Mandrake-russian@altlinux.ru
> http://altlinux.ru/mailman/listinfo/mandrake-russian

-- 
Igor Homyakov
<homyakov(at)ramax.spb.ru>

Re: [mdk-re] Поломали сервер

[Korshunov Ilya]

Tue, 23 Apr 2002 14:46:09 +0400
Igor Homyakov <homyakov@ramax.spb.ru> Писал:

> OpenServer или UnixWare ?


UnixWare 

да и ещё FronPage extentions включены. 

Re: [mdk-re] Поломали сервер

[Alexei Takaseev]

On Tue, 23 Apr 2002, Korshunov Ilya wrote:

> Tue, 23 Apr 2002 14:46:09 +0400
> Igor Homyakov <homyakov@ramax.spb.ru> Писал:
>
> > OpenServer или UnixWare ?
>
>
> UnixWare
>
> да и ещё FronPage extentions включены.

Поимели сайт именно через него. Тут один шкет мне в течении часа
около десятка дефейсов демонстрировал. И все те сайты поимели
именно через этот extentions.

Re: [mdk-re] Поломали сервер

[Korshunov Ilya]

Tue, 23 Apr 2002 21:27:19 +0900 (IRKST)
Alexei Takaseev <taf@utaf.ilim.ru> Писал:

> On Tue, 23 Apr 2002, Korshunov Ilya wrote:
> 
> > Tue, 23 Apr 2002 14:46:09 +0400
> > Igor Homyakov <homyakov@ramax.spb.ru> Писал:
> >
> > > OpenServer или UnixWare ?
> >
> >
> > UnixWare
> >
> > да и ещё FronPage extentions включены.
> 
> Поимели сайт именно через него. Тут один шкет мне в течении часа
> около десятка дефейсов демонстрировал. И все те сайты поимели
> именно через этот extentions.


Похоже((....
А способов обезапасить его не знаете случайно ? 

Re: [mdk-re] Поломали сервер

[admin]

23 Апрель 2002 13:21, Вы написали:
> Поломали веб сервер (Не ALT, а SCO). На сервере
> жили только apache (последний release) и ftpd запускаемый
> из inetd. В логах апача появились следующие вещи -
> "GET /_vti_inf.html HTTP/1.1" 404 211
> "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
> В syslog - пусто.
>
> После чего дефейс сайта. Никто не сталкивался с подобным ?
вообщето это очень старый баг расширений фронтпага
можно поискать на яндехе _vti_bin
>
> --------------------
> Best regards,
> Korshunov Ilya
>
> _______________________________________________
> Mandrake-russian mailing list
> Mandrake-russian@altlinux.ru
> http://altlinux.ru/mailman/listinfo/mandrake-russian

-- 
С уважением Антон, ОАО "Профит-М"
http://www.profitm.ru

Re: [mdk-re] Поломали сервер

[Александр Никольников]

On Tue, Apr 23, 2002 at 01:21:50PM +0400, Korshunov Ilya wrote:
> Поломали веб сервер (Не ALT, а SCO). На сервере 
> жили только apache (последний release) и ftpd запускаемый 
> из inetd. В логах апача появились следующие вещи - 
> "GET /_vti_inf.html HTTP/1.1" 404 211
> "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
> В syslog - пусто.
> 
> После чего дефейс сайта. Никто не сталкивался с подобным ? 
> 

Смахивает на Microsoft FrontPage extension.

--
Саша

[mdk-re] Re[2]: [mdk-re] Поломали сервер

[Dmitry Gerasimov]

>> "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
>> В syslog - пусто.
>> 
>> После чего дефейс сайта. Никто не сталкивался с подобным ? 
>> 

АН> Смахивает на Microsoft FrontPage extension.

ну да. смахивает. прошлись по сайту каки нибудь Вискером (whisker)
и всего делов...

Re: [mdk-re] Поломали сервер

[Alexei Takaseev]

On Tue, 23 Apr 2002, Korshunov Ilya wrote:

> Поломали веб сервер (Не ALT, а SCO). На сервере
> жили только apache (последний release) и ftpd запускаемый
> из inetd. В логах апача появились следующие вещи -
> "GET /_vti_inf.html HTTP/1.1" 404 211
> "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 225
> В syslog - пусто.
>
> После чего дефейс сайта. Никто не сталкивался с подобным ?

А на том апаче случайно расширение FrontPage на поставлено? Очень
характерные следы для атаки на это угребище от M$.