0001DNS未登録さん03/04/29 16:24ID:ZxRqeijn
漏れはアタックされたことないが
ウィルスを入れられたことはある
ドレぐらいあるか、話し合いましょう〜
0050仕様書無しさん04/10/04 23:56:03ID:odsrLN5V
今頃、CodeRedとか、Nimdaに感染されてることを想定して、
アタックしてくるヤツがいるんだけど。
そいつら、時代遅れ？
0051DNS未登録さん04/10/24 20:35:32ID:GhNIlj98
自宅鯖のログに、こんなのが。
$ grep "Invalid user" $LOG |cat -n |tail -n1
43 Oct DD HH:MM:SS SERVER sshd[NUM]: Invalid user test from 211.192.229.4
そっちを適当につついて見たが、サーバソフトが軒並2年前のバージョンで、
当然脆弱性てんこ漏り...
要するに、此奴、踏台になってる模様。
>>50
まあ、時代遅れといえばそうなんだろうな。
おまえさんのサイトが脆弱そうだから攻撃してるんじゃなくて、そいつらのサイトが脆弱なだけだと思うけど。 >>51
バージョンが古いからってセキュリティホールが残っているものだと考えるのは
厨だぞ。パッケージ製品ならともかく、オープンソースならパッチをバックポート
して適用する場合もあるわけだし。 >>53
もう少し説明したい。
まず、縁のゆかりもない俺の自宅鯖に、一分程の間に43回、複数の名前
(test, jane, webmaster, mysql他いろいろ)でsshしてきた経緯がわからない。
こっちは人にアカウントあげた覚えはない。
くだんのIPを自分でつつけば分かるが、サーバソフト(proftpd, apache, php)の
バージョンが揃って2002年前半のそれだった(もちろん、返す値が真実と
かけはなれてる可能性は当然ある)。
# 流石に当該サイトの脆弱性検証まではやってないので(立派なクラックじゃん)
そこのftpdにアクセスすると、あるドメインが表示されたので、ぐぐってみると
すぐ近くのIPを持つ韓国語のサイトに出た。
こっちはさらに酷かった。
ネームサーバがたってたのでdigで試すと、関係ないドメインまで検索してくれた。
(そんなの、プロバイダが顧客向けにやれば十分だと思うが...)
6000まで開いていた。インターネット越しにX動かす神経が信じられない。
(単に気づかないだけなら、さらに救いがたい)
ちなみに使ってるサーバのバージョンは同一だった。
これだけの事実を見ると、管理者の勘違いOR悪戯というより、そのシステムを
乗っ取った小僧の可能性を疑いたくなる。
# 他に勘違いしてる可能性があったら教えてくれ。
0055DNS未登録さん04/10/26 13:11:32ID:SAiFAV7q
Oct 22 15:02:11 SERVER postfix/smtpd[1227]: connect from unknown
[221.140.55.88]
Oct 22 15:02:12 SERVER postfix/smtpd[1227]: NOQUEUE: reject: RCPT
from unknown[221.140.55.88]: 554 <moneyhunter99@daum.net>: Relay
access denied; from=<ddhe2oo9uuhh44tyqg2@yahoo.com.au>
to=<moneyhunter99@daum.net> proto=SMTP helo=<none>
Oct 22 15:02:12 SERVER postfix/smtpd[1227]: disconnect from unknown
[221.140.55.88]
スパマー大っ嫌い。
inetnum: 219.0.0.0 - 219.63.255.255
netname: BBTECH
descr: SOFTBANK BB CORP
descr: Nation wide network in Japan
country: JP
admin-c: SA127-AP
tech-c: SA127-AP
mnt-by: APNIC-HM
mnt-lower: MAINT-JP-BBTECH
changed: hostmaster@apnic.net 20011031
changed: hm-changed@apnic.net 20030616
status: ALLOCATED PORTABLE
source: APNIC
KRNIC is not a ISP but a National Internet Registry similar to APNIC.
The address is allocated yet
Please contact following ISP for further information
[ ISP Organization Information ]
Org Name : NIDA
Service Name : KRNIC-NET
Org Address : Seocho 2-dong Seocho-gu SEOUL
Org Detail Address: 1321-11 11th KTF B/D
[ ISP IP Admin Contact Information ]
Name : IP Adm
Phone : +82-2-2186-4500
E-Mail : noc@nida.or.kr
[ ISP IP Tech Contact Information ]
Name : IP Tech
Phone : +82-2-2186-4500
E-mail : noc@nida.or.kr
[ ISP Network Abuse Contact Information ]
Name : Abuse Manager
Phone : +82-2-2186-4500
E-mail : noc@nida.or.kr
- NIDA/KRNIC Whois Service -
こいつ（202.30.50.120）がこの2時間で100回ぐらい仕掛けてきてる。
まじでﾁｮﾝ死ね。
↓こんなのが1回
GET /w00tw00t.at.ISC.SANS.DFind:)
↓こんなのが週数回
SEARCH /\x90\xc9\(略)\x90\
POST /_vti_bin/_vti_aut/fp30reg.dll
0061DNS未登録さん2008/05/13(火) 12:37:23ID:JVWzeohz
>>1
ネットに一時間つなげば、一回や二回あってもおかしくない。
普通は数え切れないはず。 0062DNS未登録さん2008/05/14(水) 04:11:44ID:yJwFMBtH
自分が管理しているサーバーに攻撃されたのか？
なんか凶暴なサーバーなんだねw
うちのおかんから攻撃がありました！
かーちゃん……電源ぬくなよ
0067DNS未登録さん2008/05/30(金) 17:32:46ID:Ot7IDYtB
ちょっと穴空けて、踏み台にされるのを待っているんだけど・・・
ツールとかドサッと置いたのを確認してから、いただいちゃおうって考えね。
0069DNS未登録さん2008/07/01(火) 16:45:50ID:yWt1W5th
最近、8080ポート空けてると毎日
GET /manager/html
ってのがやたら来るんだけど、何がしたいのやら
/脆弱性が見つかってるphp?http://URL
みたいなのが土曜からずっと来てるのだけど。
エージェントはlibwww-perlやMorfeus Fucking Scanner
ディレクトリやPHP名はかわっていってるけど、自分の鯖はPHP導入してないんだよね
検索で探せばPHP使ってるサイト等結構みつかるのに、そんな確認もせずに総スキャンかましてるのか
2-3回アクセス毎にIP変わってるのでiptablesの制限にかからないけど、PHPを使ってない鯖にいつまで続けるんだろ 0072DNS未登録さん2008/07/02(水) 07:47:37ID:xJhKfCu8
認証とか面倒なんでポート全解放 管理者パスワード無し
最近不安定でexploler.exeが起動しないからアップデートもしてない
でもアタックなんてされるわけないから大丈夫
0073DNS未登録さん2008/07/25(金) 14:05:00ID:Wso8n28Y
サーバーにハッキングしようとする悪質な輩を晒し上げ
Failed logins from:
58.229.117.54: 3201 times
122.209.225.187: 26 times
125.54.44.56 (KD125054044056.ppp-bb.dion.ne.jp): 1 time
Illegal users from:
58.229.117.54: 2864 times
122.209.225.187: 1 time
Failed logins from:
128.134.180.202: 38 times
202.108.201.158: 22 times
213.194.149.28 (ns4.hostinglmi.net): 30 times
218.12.196.5: 5 times
222.73.225.84: 124 times
Illegal users from:
128.134.180.202: 174 times
202.108.201.158: 31 times
213.194.149.28 (ns4.hostinglmi.net): 1043 times
218.12.196.5: 4 times
222.73.225.84: 144 times
サーバーにハッキングしようとする悪質な輩を晒し上げ
Failed logins from:
70.86.87.58 (3a.57.5646.static.theplanet.com): 573 times
88.191.78.192 (sd-13533.dedibox.fr): 312 times
Illegal users from:
88.191.78.192 (sd-13533.dedibox.fr): 5 times
0076DNS未登録さん2008/08/03(日) 14:06:34ID:vBrtm0/V
運用が安定してからsshの不正ログインチャレンジは毎日200はあったな
sshdのポートを変えたらゼロになった
0077DNS未登録さん2008/08/10(日) 05:32:39ID:Th0Uozn8
サーバーにハッキングしようとする悪質な輩を晒し上げ
毎日こんな調子だわ orz
Failed logins from:
74.52.28.122 (7a.1c.344a.static.theplanet.com): 13 times
80.232.45.118: 523 times
81.86.39.135 (81-86-39-135.dsl.pipex.com): 2 times
83.16.138.122 (afi122.internetdsl.tpnet.pl): 6 times
207.58.135.82 (pi.com): 114 times
Illegal users from:
74.52.28.122 (7a.1c.344a.static.theplanet.com): 2 times
80.232.45.118: 1608 times
81.86.39.135 (81-86-39-135.dsl.pipex.com): 1 time
83.16.138.122 (afi122.internetdsl.tpnet.pl): 788 times
207.58.135.82 (pi.com): 2030 times
俺実際にルータの設定いじられたことあるｗ
知らない間にポート全部開いてたｗ
アタック通知設定にすべきだな
>>78
それはルータとサーバのどっちの設定に問題があったんだ？ 最近
/send_reminders.php?includedir=http://www.*.de/2007/pics/id.txt???
みたいなのが毎日数時間置きぐらいにきてるけど、他の人はどう?
とりあえずユーザーエージェントとしてとして残ってるlibwww-perlをDROPしたから403を返してるけど、それでもずーとアクセスあるのよね
php使ってないのにさ
IPも次から次へと変えてるっぽい >>82
いや、この手のアクセスが毎日数時間おきに来てるって事が言いたかったわけです
他の人はどうかなっと
じさばは、大切なファイルのあるPCと同じラン上にあるんですか？
いつも使ってるPCで自鯖運営すると結構便利
攻撃されたらすぐLANケーブル抜くことができるし。
鯖がよく落ちるなと思って、今日セキュリティログ見てみたら30171番ポートにボットネットから攻撃されてやがった。
どうすればいいものか。
つ iptables
つ ipfilter
つ ipfw
つ PeerGuardian
>>69
Tomcatの管理用コンテキストにアクセスできてしまうことがある。
ほとんどの場合、Basic認証付きがデフォルトだから、大丈夫。 65.74.168.210 (c1resolver1.ctmail.com)
最近やたら多いんだけど
カードの情報盗まれた可能性もあるので警察に届けた方がいいかしら？