[Comm] Apache log - ?

[Comm] Apache log - ?

[Jury Levykin]

Apache 1.3.31, ALM 2.2

В access_log Apache почти ежедневно вижу следующие записи:

============================================================
213.47.109.238 - - [11/Oct/2004:18:09:15 +0400] "SEARCH /\x90\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1
 ... ~100 lines ...
xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
2\xb1\x02\xb1\x02\xb1\x02\xb1\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9
0\x90\x90\x90\x90\x90\x90\x90\x90\x90
 ... ~100 lines ...
0\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9
0\x90\x90\x90\x90\x90\x90\x90" 414 345
=============================================================

IP - разные, смотрел в whois очень много заграничных адресов.
Часто в логе видны попытки запустить windows приложения.

Что это значит?
Это попытки взлома переполнением буфера или нет?
Можно ли закрыть подобные запросы с помощью firewall?

Re: [Comm] Apache log - ?

[Dmitriy Zakalyuzhniy]

On Tue, 12 Oct 2004 13:05:18 +0400
Jury Levykin <altcomm@list.ru> wrote:

> Apache 1.3.31, ALM 2.2
> 
> В access_log Apache почти ежедневно вижу следующие записи:
> 
> ============================================================
> 213.47.109.238 - - [11/Oct/2004:18:09:15 +0400] "SEARCH /\x90\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
> 2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
> 2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1
>  ... ~100 lines ...
> xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
> 2\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x02\xb1\x0
> 2\xb1\x02\xb1\x02\xb1\x02\xb1\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9
> 0\x90\x90\x90\x90\x90\x90\x90\x90\x90
>  ... ~100 lines ...
> 0\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x9
> 0\x90\x90\x90\x90\x90\x90\x90" 414 345
> =============================================================
> 
> IP - разные, смотрел в whois очень много заграничных адресов.
> Часто в логе видны попытки запустить windows приложения.
> 
> Что это значит?

Коды ответа группируются по значению первой цифры. Коды с 4хх означают ошибку клиента.

> Это попытки взлома переполнением буфера или нет?

По крайней мере, нехорошие действия :-( Особенно, если идет в конце запускаемой команды ...cmd.exe :-)

> Можно ли закрыть подобные запросы с помощью firewall?

Я закрываю. Но у меня ошибок не очень много :-)

> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

Re: [Comm] Apache log - ?

[Jury Levykin]

Dmitriy Zakalyuzhniy пишет:

>Я закрываю. Но у меня ошибок не очень много :-)
>
Подскажите команды iptables, что именно закрвыать?

Re: [Comm] Apache log - ?

[Dmitriy Zakalyuzhniy]

On Tue, 12 Oct 2004 22:33:10 +0400
Jury Levykin <altcomm@list.ru> wrote:

> Dmitriy Zakalyuzhniy пишет:
> 
> >Я закрываю. Но у меня ошибок не очень много :-)
> >
> Подскажите команды iptables, что именно закрвыать?

По iptables по памяти не помню :-( ipfw add deny ... во FreeBSD. Я просто закрываю все tcp-коннекты с ip-шников, которые ломятся с такими запросами.

> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

Re: [Comm] Apache log - ?

[Jury Levykin]

Dmitriy Zakalyuzhniy пишет:

>По iptables по памяти не помню :-( ipfw add deny ... во FreeBSD. Я просто закрываю все tcp-коннекты с ip-шников, которые ломятся с такими запросами.
>
т.е. нужно заводить черный список.

Re: [Comm] Apache log - ?

[Dmitriy Zakalyuzhniy]

On Tue, 12 Oct 2004 23:05:53 +0400
Jury Levykin <altcomm@list.ru> wrote:

> Dmitriy Zakalyuzhniy пишет:
> 
> >По iptables по памяти не помню :-( ipfw add deny ... во FreeBSD. Я просто закрываю все tcp-коннекты с ip-шников, которые ломятся с такими запросами.
> >
> т.е. нужно заводить черный список.

У меня небольшой канал по выделенке - справляюсь вручную со списком. Два-три адреса в сутки вбить в правила - не очень затруднительно. Но если канал хороший, то это не решение. Может, и есть какая автоматизация для этого - не спорю :-)

> 
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/community

Re: [Comm] Apache log - ?

[Sasha Martsinuk]

[-- Attachment #1: Type: text/plain, Size: 609 bytes --]

On Oct 12 13:05, Jury Levykin wrote:

> В access_log Apache почти ежедневно вижу следующие записи:

<skip/>

> IP - разные, смотрел в whois очень много заграничных адресов.
> Часто в логе видны попытки запустить windows приложения.
> 
> Что это значит?
> Это попытки взлома переполнением буфера или нет?
> Можно ли закрыть подобные запросы с помощью firewall?

Это прощупывание. 
Делается всякими роботами-сканерами буржуйскими, на предмет
ПО, которое подвержено переполнению буфера.

Я нисколько насчёт этого не беспокоюсь.

--
WBR, 
Sasha aka mr.Scamp
			    mailto:sasha@sasha.rv.ua

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Apache log - ?

[Pavel Sabirjanov]

Sasha Martsinuk пишет:

>On Oct 12 13:05, Jury Levykin wrote:
>
>  
>
>>В access_log Apache почти ежедневно вижу следующие записи:
>>    
>>
>
><skip/>
>
>  
>
>>IP - разные, смотрел в whois очень много заграничных адресов.
>>Часто в логе видны попытки запустить windows приложения.
>>
>>Что это значит?
>>Это попытки взлома переполнением буфера или нет?
>>Можно ли закрыть подобные запросы с помощью firewall?
>>    
>>
>
>Это прощупывание. 
>Делается всякими роботами-сканерами буржуйскими, на предмет
>ПО, которое подвержено переполнению буфера.
>
>Я нисколько насчёт этого не беспокоюсь.
>  
>
Чаще это зараженные вирусом машины с Windows, они даже не догадываются 
об этом, поэтому закрывать эти адреса не стоит.

-- 
С уважением,
Сабирьянов Павел
pavel@ukr-inter.net