Nimbda - Immer noch aktiv

[Christian Kruse]

Hoi,

was tun bei andauernden Nimbda/Code-Red Angriffen auf den eigenen
Web-Server ?

Viel tun kannst du da nicht.

Habe im letzten Jahr von IIS (uralt 3.0) unter M$ auf Apache unter
Linux umgestellt

Das war schonmal der richtige Schritt ;-)

Trotzdem, auch nach Umstellung von Windows-NT auf Linux und von
IIS3 auf Apache, immer noch zu Hauf Angriffsversuche, so zeigt es
das Logbuch. Einer der Angreifer ist ganz besonders hartnäckig und
versucht's seit Wochen alle paar Minuten (212.55.137.10) mit
Zugriff auf "/scripts/cmd.exe?..." etc.

Dann schreibe dem Provider eine Mail. Herausfinden, welchem Provider
die IP gehoert, kannst du bei http://www.ripe.net.

Passieren kann da zwar nichts, aber es macht unnötigen Traffic
auf einer 64K Leitung und füllt auch das Logbook. Whois-Suche
nach dem Admin und Benachrichtigung per e-mail brachte nichts,
möglicherweise sind ja in Portugal gerade Ferien...

Das einzige, was du noch machen kannst, ist ein RedirectPermanent
auf die URI. Das schraenkt vielleicht den Traffic ein wenig ein.
Am besten natuerlich ist sowas:

RedirectMatch /scripts/cmd.exe.* http://www.microsoft.com/your/bugs/spam/my/logfiles

;-)) Wenn das immer dieselbe IP ist, dann kannst du sie auch per
Firewall sperren.

Gruesse,
 CK