Onderwerp: Nieuwe Nimda o.i.d.?

Ik zie in mij logs ineens allerlei requests:

SEARCH /(9560 non-ascii bytes)

Foutmelding: 414 URL too long

Hebben jullie dat ook? Is er weer een nieuwe Nimda-achtige worm actief?

Jan
--
Look, Ma. No tables - http://enbio.steenbergen-stichting.nl/

Jan Ehrhardt schreef:
> Ik zie in mij logs ineens allerlei requests:
>
> SEARCH /(9560 non-ascii bytes)
>
> Foutmelding: 414 URL too long
>
> Hebben jullie dat ook?

Vandaag 1, volgens whois uit een netcafe te Seoul (211.242.148.xxx).
Gisteren geen.

--
groet, Ronald

Ronald Klip in nl.internet.www.server-side (Wed, 24 Mar 2004 12:55:31
+0100):

>Jan Ehrhardt schreef:
>> Ik zie in mij logs ineens allerlei requests:
>>
>> SEARCH /(9560 non-ascii bytes)
>> Foutmelding: 414 URL too long
>> Hebben jullie dat ook?
>
>Vandaag 1, volgens whois uit een netcafe te Seoul (211.242.148.xxx).
>Gisteren geen.

Grep uit mijn logs:

[Sun Mar 21 02:26:33 2004] [client 24.202.74.xxx] URI too long
[Sun Mar 21 19:33:23 2004] [client 24.220.58.xxx] URI too long
[Sun Mar 21 20:36:49 2004] [client 24.132.253.xxx] URI too long
[Sun Mar 21 22:46:27 2004] [client 24.200.3.xxx] URI too long
[Sun Mar 21 23:41:42 2004] [client 24.197.217.xxx] URI too long
[Mon Mar 22 00:38:24 2004] [client 68.108.170.xxx] URI too long
[Mon Mar 22 01:12:22 2004] [client 66.117.251.xxx] URI too long
[Mon Mar 22 02:54:02 2004] [client 24.24.173.xxx] URI too long
[Mon Mar 22 05:38:21 2004] [client 24.119.74.xxx] URI too long
[Mon Mar 22 06:01:51 2004] [client 129.173.192.xxx] URI too long
[Mon Mar 22 06:09:50 2004] [client 24.33.13.xxx] URI too long
[Mon Mar 22 07:11:54 2004] [client 68.3.169.xxx] URI too long
[Mon Mar 22 08:33:27 2004] [client 24.200.182.xxx] URI too long
[Mon Mar 22 10:41:00 2004] [client 24.54.142.xxx] URI too long
[Mon Mar 22 12:01:43 2004] [client 24.156.67.xxx] URI too long
[Mon Mar 22 16:12:27 2004] [client 66.188.129.xxx] URI too long
[Wed Mar 24 05:55:11 2004] [client 218.158.168.xxx] URI too long
[Wed Mar 24 10:59:27 2004] [client 12.222.193.xxx] URI too long

Overwegend uit 24.*, waarin ook de webserver staat. Dus wellicht
inderdaad iets Nimda-achtigs, die een poging doet een buffer overflow te
genereren.

Jan
--
Look, Ma. No tables - http://enbio.steenbergen-stichting.nl/

Idem dito, de laatste dagen is het opeens zo en ook uit dezelfde 'regio'

Grtz,
Evert

"Jan Ehrhardt" <monitor@idem.invalid> schreef in bericht
news:ifv260l5r90k2m8mblngsc1em460tu70r5@4ax.com...
> Ronald Klip in nl.internet.www.server-side (Wed, 24 Mar 2004 12:55:31
> +0100):
>
> >Jan Ehrhardt schreef:
> >> Ik zie in mij logs ineens allerlei requests:
> >>
> >> SEARCH /(9560 non-ascii bytes)
> >> Foutmelding: 414 URL too long
> >> Hebben jullie dat ook?
> >
> >Vandaag 1, volgens whois uit een netcafe te Seoul (211.242.148.xxx).
> >Gisteren geen.
>
> Grep uit mijn logs:
>
> [Sun Mar 21 02:26:33 2004] [client 24.202.74.xxx] URI too long
> [Sun Mar 21 19:33:23 2004] [client 24.220.58.xxx] URI too long
> [Sun Mar 21 20:36:49 2004] [client 24.132.253.xxx] URI too long
> [Sun Mar 21 22:46:27 2004] [client 24.200.3.xxx] URI too long
> [Sun Mar 21 23:41:42 2004] [client 24.197.217.xxx] URI too long
> [Mon Mar 22 00:38:24 2004] [client 68.108.170.xxx] URI too long
> [Mon Mar 22 01:12:22 2004] [client 66.117.251.xxx] URI too long
> [Mon Mar 22 02:54:02 2004] [client 24.24.173.xxx] URI too long
> [Mon Mar 22 05:38:21 2004] [client 24.119.74.xxx] URI too long
> [Mon Mar 22 06:01:51 2004] [client 129.173.192.xxx] URI too long
> [Mon Mar 22 06:09:50 2004] [client 24.33.13.xxx] URI too long
> [Mon Mar 22 07:11:54 2004] [client 68.3.169.xxx] URI too long
> [Mon Mar 22 08:33:27 2004] [client 24.200.182.xxx] URI too long
> [Mon Mar 22 10:41:00 2004] [client 24.54.142.xxx] URI too long
> [Mon Mar 22 12:01:43 2004] [client 24.156.67.xxx] URI too long
> [Mon Mar 22 16:12:27 2004] [client 66.188.129.xxx] URI too long
> [Wed Mar 24 05:55:11 2004] [client 218.158.168.xxx] URI too long
> [Wed Mar 24 10:59:27 2004] [client 12.222.193.xxx] URI too long
>
> Overwegend uit 24.*, waarin ook de webserver staat. Dus wellicht
> inderdaad iets Nimda-achtigs, die een poging doet een buffer overflow te
> genereren.
>
> Jan
> --
> Look, Ma. No tables - http://enbio.steenbergen-stichting.nl/

nl.internet.www.server-side,Wed, 24 Mar 2004 13:38:00 +0100, Jan
Ehrhardt <monitor@idem.invalid> stated:

>Ronald Klip in nl.internet.www.server-side (Wed, 24 Mar 2004 12:55:31
>+0100):
>
>>Jan Ehrhardt schreef:
>>> Ik zie in mij logs ineens allerlei requests:
>>>
>>> SEARCH /(9560 non-ascii bytes)
>>> Foutmelding: 414 URL too long
>>> Hebben jullie dat ook?
>>
>>Vandaag 1, volgens whois uit een netcafe te Seoul (211.242.148.xxx).
>>Gisteren geen.
>
>Grep uit mijn logs:
>
>[Sun Mar 21 02:26:33 2004] [client 24.202.74.xxx] URI too long

Naar aanleiding hiervan probeer ik een rewrite rule te creeren in mijn
Apache config dmv mod_rewrite.
Het lukt alleen niet zo best. Alle voorbeelden die ik vond zijn voor
Unix en ik draai windows2000.

Nu vond ik dit:

RewriteEngine On
RewriteOptions inherit
RewriteLog logs/rewrite_log


RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/winnt/system32/(.*)
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/winnt/system/(.*)
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/windows/system32/(.*)
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/windows/system/(.*)
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/cmd\.exe[$|\?(.*)]
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING}
(.*)/scripts/root.exe[$|\?(.*)] [NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING}
(.*)/msadc/root\.exe[$|\?(.*)] [NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)\\\.\.(.*) [NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/admin\.dll[$|\?(.*)]
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/msadcs\.dll[$|\?(.*)]
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/ext\.dll[$|\?(.*)]
[NC,OR]
RewriteCond %{REQUEST_URI} (.*)/\.(.*) [NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)/php\.exe[$|\?(.*)]
[NC,OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)\<(.*) [OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)\>(.*) [OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} (.*)\|(.*) [OR]
RewriteCond %{REQUEST_URI} (.{255,}) [OR]
RewriteCond %{QUERY_STRING} (.{127,}) [OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} [\x00-\x1f]+ [OR]
RewriteCond %{REQUEST_URI}?%{QUERY_STRING} [\x7f|\xff]+
RewriteRule (.*)


Alleen werkt t niet, ik kon helemaal niet meer op m'n site.
Wil windows2000 hiermee niet?


--

christinA
mail uw kamerlid.
http://www.xs4all.nl/~mumke/test/2dekamer.html