[mdk-re] Apache

[mdk-re] Apache

[Maxim Ivanov]

Hello mandrake-russian,

  Проблема в следующем:
  периодически (периодичность варьируется) Апач виснет.
  При этом с клиента получить доступ к серверу возможным не
  представляется. В логах на 12 консоли чисто, а вот в логах самого
  апача что-то странное:
/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

После такой строчки все и вешается. В чем может быть причина?
Все стоит из коробки, обновлений нет. Система - весна2001.

-- 
Best regards,
 Maxim                          mailto:maxiva@yandex.ru

Re: [mdk-re] Apache

[Vitaly Lopatin]

Числа Tue, 2 Oct 2001 10:15:13 +0400
Maxim Ivanov <maxiva@yandex.ru> сообщил(а):

> Hello mandrake-russian,

> Проблема в следующем:
> периодически (периодичность варьируется) Апач виснет.
> При этом с клиента получить доступ к серверу возможным не
> представляется. В логах на 12 консоли чисто, а вот в логах самого
> апача что-то странное:
>
/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

> После такой строчки все и вешается. В чем может быть причина?
> Все стоит из коробки, обновлений нет. Система - весна2001.

Очень похоже на переполнение буфера.
Какой дистрибутив и версия Апача?
---
С бестовыми регардсами, Виталий Лопатин AKA Vitls

Администратор узла сети Нарзан-МинВоды
e-mail: vitls@mw.narzan.com
ICQ   : 14303678
WWW   : www.mw.narzan.com/admin/
тел.  : (87922) 50010.

Re[2]: [mdk-re] Apache

[Maxim Ivanov]

Hello Vitaly,

Tuesday, October 02, 2001, 10:32:35 AM, you wrote:

>> апача что-то странное:
>>
VL> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

>> После такой строчки все и вешается. В чем может быть причина?
>> Все стоит из коробки, обновлений нет. Система - весна2001.

VL> Очень похоже на переполнение буфера.
VL> Какой дистрибутив и версия Апача?

Я  ж говорю: ВСЕ из коробки:
Apache/1.3.19 (Linux Mandrake RE Spring 2001/ipl2mdk)



-- 
Best regards,
 Maxim                            mailto:maxiva@yandex.ru

Re: Re[2]: [mdk-re] Apache

[Vitaly Lopatin]

Числа Tue, 2 Oct 2001 10:41:28 +0400
Maxim Ivanov <maxiva@yandex.ru> сообщил(а):

> Hello Vitaly,

> Tuesday, October 02, 2001, 10:32:35 AM, you wrote:

>>> апача что-то странное:
>>>
VL>>
/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

>>> После такой строчки все и вешается. В чем может быть причина?
>>> Все стоит из коробки, обновлений нет. Система - весна2001.

VL>> Очень похоже на переполнение буфера.
VL>> Какой дистрибутив и версия Апача?

> Я  ж говорю: ВСЕ из коробки:
> Apache/1.3.19 (Linux Mandrake RE Spring 2001/ipl2mdk)

Cорри, был невнимателен.

А эта... перед этой записью есть обращения к серверу?
Или только эта запись голая?
Если не трудно приведи несколько строк из того, что ПЕРЕД
/АААА...

---
С бестовыми регардсами, Виталий Лопатин AKA Vitls

Администратор узла сети Нарзан-МинВоды
e-mail: vitls@mw.narzan.com
ICQ   : 14303678
WWW   : www.mw.narzan.com/admin/
тел.  : (87922) 50010.

Re[4]: [mdk-re] Apache

[Maxim Ivanov]

Hello Vitaly,

Tuesday, October 02, 2001, 10:49:27 AM, you wrote:


VL> А эта... перед этой записью есть обращения к серверу?
VL> Или только эта запись голая?
VL> Если не трудно приведи несколько строк из того, что ПЕРЕД
VL> /АААА...

Что-то типа того:
[28/Sep/2001:10:22:16  +0400]  "GET  ::  HTTP/1.0"   400   323
172.16.10.145  -  - [28/Sep/2001:10:22:16 +0400] "GET /" 200 8267
172.16.10.145 - - [28/Sep/2001:10:22:16 +0400] "GET  /  HTTP/1.0"
200  8267  172.16.10.145  - - [28/Sep/2001:10:22:16 +0400] "GET /
HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
"GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
+0400]  "GET  ../..  HTTP/1.0"  400   326   172.16.10.145   -   -
[28/Sep/2001:10:22:16                 +0400]                 "GET
/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
HTTP/1.0"  403 776 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
"GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
+0400]   "GET   ::::   HTTP/1.0"   400   325  172.16.10.145  -  -
[28/Sep/2001:10:22:16 +0400] "GET /" 200 8267 172.16.10.145  -  -
[28/Sep/2001:10:22:16                 +0400]                 "GET
/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
HTTP/1.0"  403 520 172.16.10.145 - - 


При этом 172.16.10.145 - моя машина.

-- 
Best regards,
 Maxim                            mailto:maxiva@yandex.ru

Re[5]: [mdk-re] Apache

[Russu V.F.]

Hello mandrake-russian-admin,

Tuesday, October 02, 2001, 1:02:58 PM, you wrote:

> Hello Vitaly,

> Tuesday, October 02, 2001, 10:49:27 AM, you wrote:


VL>> А эта... перед этой записью есть обращения к серверу?
VL>> Или только эта запись голая?
VL>> Если не трудно приведи несколько строк из того, что ПЕРЕД
VL>> /АААА...

> Что-то типа того:
> [28/Sep/2001:10:22:16  +0400]  "GET  ::  HTTP/1.0"   400   323
> 172.16.10.145  -  - [28/Sep/2001:10:22:16 +0400] "GET /" 200 8267
> 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400] "GET  /  HTTP/1.0"
> 200  8267  172.16.10.145  - - [28/Sep/2001:10:22:16 +0400] "GET /
> HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
> "GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
> +0400]  "GET  ../..  HTTP/1.0"  400   326   172.16.10.145   -   -
> [28/Sep/2001:10:22:16                 +0400]                 "GET
> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
> HTTP/1.0"  403 776 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
> "GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
> +0400]   "GET   ::::   HTTP/1.0"   400   325  172.16.10.145  -  -
> [28/Sep/2001:10:22:16 +0400] "GET /" 200 8267 172.16.10.145  -  -
> [28/Sep/2001:10:22:16                 +0400]                 "GET
> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
> HTTP/1.0"  403 520 172.16.10.145 - - 


> При этом 172.16.10.145 - моя машина.

        дык у тебя машина виндовая чтоли ???? похоже что ты RedCode
заражен !

-- 
 ОП ТюменьЭнергоСпецРемонт
 Системный администратор
 Руссу В.Ф.                  e-mail: ruwa@psrp.te.ru
                             phone: (3462)76-40-56

Re[6]: [mdk-re] Apache

[Maxim Ivanov]

Hello Russu,

Tuesday, October 02, 2001, 11:18:37 AM, you wrote:

RVF> Hello mandrake-russian-admin,

RVF> Tuesday, October 02, 2001, 1:02:58 PM, you wrote:

>> Hello Vitaly,

>> Tuesday, October 02, 2001, 10:49:27 AM, you wrote:


VL>>> А эта... перед этой записью есть обращения к серверу?
VL>>> Или только эта запись голая?
VL>>> Если не трудно приведи несколько строк из того, что ПЕРЕД
VL>>> /АААА...

>> Что-то типа того:
>> [28/Sep/2001:10:22:16  +0400]  "GET  ::  HTTP/1.0"   400   323
>> 172.16.10.145  -  - [28/Sep/2001:10:22:16 +0400] "GET /" 200 8267
>> 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400] "GET  /  HTTP/1.0"
>> 200  8267  172.16.10.145  - - [28/Sep/2001:10:22:16 +0400] "GET /
>> HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
>> "GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
>> +0400]  "GET  ../..  HTTP/1.0"  400   326   172.16.10.145   -   -
>> [28/Sep/2001:10:22:16                 +0400]                 "GET
>> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
>> HTTP/1.0"  403 776 172.16.10.145 - - [28/Sep/2001:10:22:16 +0400]
>> "GET / HTTP/1.0" 200 8267 172.16.10.145 - - [28/Sep/2001:10:22:16
>> +0400]   "GET   ::::   HTTP/1.0"   400   325  172.16.10.145  -  -
>> [28/Sep/2001:10:22:16 +0400] "GET /" 200 8267 172.16.10.145  -  -
>> [28/Sep/2001:10:22:16                 +0400]                 "GET
>> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
>> HTTP/1.0"  403 520 172.16.10.145 - - 


>> При этом 172.16.10.145 - моя машина.

RVF>         дык у тебя машина виндовая чтоли ???? похоже что ты RedCode
RVF> заражен !


тачка с этим IP - действительно маздайная.
Апач стоит, ясное дело, под Линухом.
На маздайной тачке никаких вирусов НЕТ, это точно, я проверял и
проверяю всегда.
На Красный код это не похоже, он пробует найти конкретные файлы, что и
отображается в логах. А что сие - черт его знает, потому и спрашиваю.


-- 
Best regards,
 Maxim                            mailto:maxiva@yandex.ru

Re[7]: [mdk-re] Apache

[Russu V.F.]

Hello mandrake-russian-admin,

Tuesday, October 02, 2001, 1:38:30 PM, you wrote:

>>> [28/Sep/2001:10:22:16                 +0400]                 "GET
>>> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
RVF>>         дык у тебя машина виндовая чтоли ???? похоже что ты RedCode
RVF>> заражен !


> тачка с этим IP - действительно маздайная.
> Апач стоит, ясное дело, под Линухом.
> На маздайной тачке никаких вирусов НЕТ, это точно, я проверял и
> проверяю всегда.
        а как проверял ??? с чистой досовскйо дискеты грузился...... с
самыми последними базами ???

> На Красный код это не похоже, он пробует найти конкретные файлы, что и
> отображается в логах. А что сие - черт его знает, потому и спрашиваю.
        это именно на него и похоже..... идет DoS атака на IIS, чтобы
потом через "переполненный" ИИС выполнить враждебный код.....
        Почему знаю - потому как у меня неделями этот мусор в логах
Апача шел. покуда местный отдел Р невзялся за зараженные машины



-- 
 ОП ТюменьЭнергоСпецРемонт
 Системный администратор
 Руссу В.Ф.                  e-mail: ruwa@psrp.te.ru
                             phone: (3462)76-40-56

Re[8]: [mdk-re] Apache

[Maxim Ivanov]

Hello Russu,

Tuesday, October 02, 2001, 2:08:27 PM, you wrote:


RVF>         а как проверял ??? с чистой досовскйо дискеты грузился...... с
RVF> самыми последними базами ???

Дык елы-палы... Ясен пень.
Только необязательно грузиться с чистой досовской дискеты -
так я никогда NTFS не увижу :)) Есть более грамотные решения.


>> На Красный код это не похоже, он пробует найти конкретные файлы, что и
>> отображается в логах. А что сие - черт его знает, потому и спрашиваю.
RVF>         это именно на него и похоже..... идет DoS атака на IIS, чтобы
RVF> потом через "переполненный" ИИС выполнить враждебный код.....
RVF>         Почему знаю - потому как у меня неделями этот мусор в логах
RVF> Апача шел. покуда местный отдел Р невзялся за зараженные машины


У меня НЕТ и никогда не было IIS. Атака через него - невозможна по
определению.




-- 
Best regards,
 Maxim                            mailto:maxiva@yandex.ru

Re: Re[8]: [mdk-re] Apache

[Любимов А.В.]

> У меня НЕТ и никогда не было IIS. Атака через него - невозможна по
> определению.

Коде ред заражает машину и как обычный вирь и через почту и через автопросмотр html в IExpress
Здесь нечего обсуждать. Машина с которой идет это мусор - ЗАРАЖЕНА
вопрос - как именуют тот вирь что в ней сидит.
Может быть это не коде ред - но это вирус.

Re[10]: [mdk-re] Apache

[Maxim Ivanov]

Hello Любимов,

Tuesday, October 02, 2001, 4:06:53 PM, you wrote:


>> У меня НЕТ и никогда не было IIS. Атака через него - невозможна по
>> определению.

ЛАВ> Коде ред заражает машину и как обычный вирь и через почту и через автопросмотр html в IExpress
ЛАВ> Здесь нечего обсуждать. Машина с которой идет это мусор - ЗАРАЖЕНА
ЛАВ> вопрос - как именуют тот вирь что в ней сидит.
ЛАВ> Может быть это не коде ред - но это вирус.


Блин. Спасибо, коли так. Буду проверяться.
Но вообще странно как-то...


-- 
Best regards,
 Maxim                            mailto:maxiva@yandex.ru

Re: Re[10]: [mdk-re] Apache

[Mikhail Nikitin]

[-- Attachment #1: Type: text/plain, Size: 931 bytes --]

On Tue, 2 Oct 2001 16:35:25 +0400
"Maxim Ivanov" <maxiva@yandex.ru> wrote:

> Hello Любимов,
> 
> Tuesday, October 02, 2001, 4:06:53 PM, you wrote:
> 
> 
> >> У меня НЕТ и никогда не было IIS. Атака через него - невозможна по
> >> определению.
> 
> ЛАВ> Коде ред заражает машину и как обычный вирь и через почту и через
> автопросмотр html в IExpress
> ЛАВ> Здесь нечего обсуждать. Машина с которой идет это мусор - ЗАРАЖЕНА
> ЛАВ> вопрос - как именуют тот вирь что в ней сидит.
> ЛАВ> Может быть это не коде ред - но это вирус.
> 
> 
> Блин. Спасибо, коли так. Буду проверяться.
> Но вообще странно как-то...
> 
Я все-таки не про вирус, но по теме.
Очень возможно, что это гадит logrotate.
Нужно заменить в /etc/logrotate.d/apache все упоминания про
reload на restart. 


-- 
Михаил
 
*I am the "ILOVEGNU" signature virus. Just copy me to your signature.
This email was infected under the terms of the GNU General Public License.*

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: Re[8]: [mdk-re] Apache

[Peter V. Saveliev]

Hello, Maxim Ivanov <maxiva@yandex.ru>!
On Tue, 2 Oct 2001 15:11:29 +0400 you wrote:

<skip>
> У меня НЕТ и никогда не было IIS. Атака через него - невозможна по
> определению.
<skip>

Я тоже думал, что все так. И оказался неправ: IIS в 2000 _часто_
включен по умолчанию. Фоном. Такие пироги с котятами. Его приходится
с корнем рвать, гада.

Петр.

[mdk-re] Re: Re[8]: [mdk-re][JT} Apache

[sam]

 
> Только необязательно грузиться с чистой досовской дискеты -
> так я никогда NTFS не увижу :)) Есть более грамотные решения.
 Может быть подскажите их? (если не секрет)
С уважением А.Степанов 03/10/2001                                
                                                                 
                                                                 
           

Re: [mdk-re] Apache

[HB]

Tue, Oct 02, 2001 at 04:08:27PM +0600, Russu V.F. wrote:

> >>> [28/Sep/2001:10:22:16                 +0400]                 "GET
> >>> /AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

> > На Красный код это не похоже, он пробует найти конкретные файлы, что и
> > отображается в логах. А что сие - черт его знает, потому и спрашиваю.
>         это именно на него и похоже..... идет DoS атака на IIS, чтобы

Идет обычная проверка на вшивость, известную в народе как переполнение
буфера в стеке. WWW-сервер пытаются завалить, а вовсе не перегрузить
пакетами TCP SYN. При чем здесь DoS??

-- 
HB