---

Jeg har adskellige gange fundet noget lignende i min access.log for min
apache webserver:

<24.196.191.32 - - [18/Jun/2002:14:21:48 +0200] "GET
/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
HTTP/1.0" 400 310 "-" "-">
<213.221.189.10 - - [18/Jun/2002:14:35:11 +0200] "CONNECT
213.221.189.10:6660 HTTP/1.0" 405 289 "-" "-">

Hver gang er det fra en ny ip, men er der nogen der ved hvilket huller,
ovenstående prøver at udnytte, og i tilfælde af at det skulle lykkes, hvad
ville det så resultere i??

Jeg går ikke umiddelbart ud fra at det er noget jeg skal bekymre mig så
meget om, men det er irriterende at få loggen fyldt op med disse requests.

Mvh Ib

Ps: Apache v. 1.3.24

---

IB wrote:
>
> Jeg har adskellige gange fundet noget lignende i min access.log for min
> apache webserver:
>
> <24.196.191.32 - - [18/Jun/2002:14:21:48 +0200] "GET
> /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
> u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
> HTTP/1.0" 400 310 "-" "-">
> <213.221.189.10 - - [18/Jun/2002:14:35:11 +0200] "CONNECT
> 213.221.189.10:6660 HTTP/1.0" 405 289 "-" "-">
>
> Hver gang er det fra en ny ip, men er der nogen der ved hvilket huller,
> ovenstående prøver at udnytte, og i tilfælde af at det skulle lykkes, hvad
> ville det så resultere i??
>
> Jeg går ikke umiddelbart ud fra at det er noget jeg skal bekymre mig så
> meget om, men det er irriterende at få loggen fyldt op med disse requests.
>
> Mvh Ib
>
> Ps: Apache v. 1.3.24

Det spørgsmål er blevet stillet og besvaret
tusindvis af gange før:
http://www.google.com/search?q=%2Fdefault.ida%3F

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:razor-report@daimi.au.dk

---

On Tue, 18 Jun 2002 14:51:10 +0200, IB wrote:

> <24.196.191.32 - - [18/Jun/2002:14:21:48 +0200] "GET
> /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
> NNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
> u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
> HTTP/1.0" 400 310 "-" "-">

Du har ikke noget at frygte. Den slags requests har det svirret med i stor
stil i over et halvt år. 24.196.191.32 er sikkert Windows-server inficeret
med en orm (Nimda, så vidt jeg husker). Ormen forsøger at finde andre
Windows-servere (upatch'ede ISS'er) at inficere.

--
Greetings from Troels Arvin, Copenhagen, Denmark

---

"Troels Arvin" <troels@arvin.dk> wrote in message
news:3d0f53a9$0$80395$edfadb0f@dspool01.news.tele.dk...
> Du har ikke noget at frygte. Den slags requests har det svirret med i stor
> stil i over et halvt år. 24.196.191.32 er sikkert Windows-server inficeret
> med en orm (Nimda, så vidt jeg husker). Ormen forsøger at finde andre
> Windows-servere (upatch'ede ISS'er) at inficere.

Takker, tænkte nok at det var noget i den stil.
Men hvad med den anden?? Er der nogen der har hørt om den før?
<213.221.189.10 - - [18/Jun/2002:14:35:11 +0200] "CONNECT
213.221.189.10:6660 HTTP/1.0" 405 289 "-" "-">

Mvh Ib

---

On Tue, 18 Jun 2002 21:51:44 +0200, "IB" <IB@getgod.dk00> wrote:

>Men hvad med den anden?? Er der nogen der har hørt om den før?
><213.221.189.10 - - [18/Jun/2002:14:35:11 +0200] "CONNECT
>213.221.189.10:6660 HTTP/1.0" 405 289 "-" "-">

Der er vist flere, der har fået den slags hits fra IP-adresser i det
område:
http://www.google.com/search?hl=da&ie=UTF8&oe=UTF8&q=CONNECT+6660+HTTP%2F1.0&lr=

--
- Peter Brodersen

---

"IB" <IB@getgod.dk00> wrote in message
news:aeo314$1hi7$1@news.cybercity.dk...
> Takker, tænkte nok at det var noget i den stil.
> Men hvad med den anden?? Er der nogen der har hørt om den før?
> <213.221.189.10 - - [18/Jun/2002:14:35:11 +0200] "CONNECT
> 213.221.189.10:6660 HTTP/1.0" 405 289 "-" "-">

Det ligner noget proxyscan fra en eller anden IRC server, jeg ved quakenet
scanner efter div. åbne proxies på ens ip når man connecter til en quakenet
server, så mon ikke det er sådan noget?

Mvh
Martin