Web服务器记录中查找黑客踪迹(2)

王朝厨房·作者佚名  2007-01-02
窄屏简体版  字體: |||超大  

摘要:暂无

3、Web站点镜像

经常镜像一个站点来帮助攻击服务器,常用来镜像的工具有Windows下的Teleport pro和Unix下的Wget。

下面我们看使用这两个工具后在服务器记录里的信息:

16:28:52 10.22.1.80 GET /Default.asp 200

16:28:52 10.22.1.80 GET /robots.txt 404

16:28:52 10.22.1.80 GET /header_protecting_your_privacy.gif 200

16:28:52 10.22.1.80 GET /header_fec_reqs.gif 200

16:28:55 10.22.1.80 GET /photo_contribs_sidebar.jpg 200

16:28:55 10.22.1.80 GET /g2klogo_white_bgd.gif 200

16:28:55 10.22.1.80 GET /header_contribute_on_line.gif 200

16:49:01 10.22.1.81 GET /Default.asp 200

16:49:01 10.22.1.81 GET /robots.txt 404

16:49:01 10.22.1.81 GET /header_contribute_on_line.gif 200

16:49:01 10.22.1.81 GET /g2klogo_white_bgd.gif 200

16:49:01 10.22.1.81 GET /photo_contribs_sidebar.jpg 200

16:49:01 10.22.1.81 GET /header_fec_reqs.gif 200

16:49:01 10.22.1.81 GET /header_protecting_your_privacy.gif 200

10.22.1.80是使用Wget的Unix客户端,10.22.1.81是使用Teleport pro的Windows客户端,都请求robots.txt文件,Robots.txt是请求没有被镜像的文件时所要用到的。所以看到有对robots.txt文件的请求,表明有镜像的企图。当然,在Wget和Teleport pro客户端,可以手工禁止对robots.txt文件的访问,这时,辨别方法可以看是否有从同一IP地址来的重复资源请求。

4、漏洞扫描

随着攻击的发展,我们可以用一些Web漏洞检查的软件,如 Whisker,它可以检查已知晓的各种漏洞,如cgi程序导致的安全隐患等。下面是运行Whisker1.4的IIS和Apache的相关记录:

IIS

12:07:56 10.22.1.81 GET /SiteServer/Publishing/viewcode.asp 404

12:07:56 10.22.1.81 GET /msadc/samples/adctest.asp 200

12:07:56 10.22.1.81 GET /advworks/equipment/catalog_type.asp 404

12:07:56 10.22.1.81 GET /iisadmpwd/aexp4b.htr 200

12:07:56 10.22.1.81 HEAD /scripts/samples/details.idc 200

12:07:56 10.22.1.81 GET /scripts/samples/details.idc 200

12:07:56 10.22.1.81 HEAD /scripts/samples/ctguestb.idc 200

12:07:56 10.22.1.81 GET /scripts/samples/ctguestb.idc 200

12:07:56 10.22.1.81 HEAD /scripts/tools/newdsn.exe 404

12:07:56 10.22.1.81 HEAD /msadc/msadcs.dll 200

12:07:56 10.22.1.81 GET /scripts/iisadmin/bdir.htr 200

12:07:56 10.22.1.81 HEAD /carbo.dll 404

12:07:56 10.22.1.81 HEAD /scripts/proxy/ 403

12:07:56 10.22.1.81 HEAD /scripts/proxy/w3proxy.dll 500

12:07:56 10.22.1.81 GET /scripts/proxy/w3proxy.dll 500

Apache

10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266

10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289

10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273

10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0

10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
 
 
© 2005- 王朝網路 版權所有 導航