| |
 |
| neuer, schneller, gefährlicher Virus unterwegs |
|
|
Veröffentlicht durch Yeoman am Dienstag 18. September, 18:25
Aus der Krieg-der-Netze Abteilung
|
|
|
|
|
Viscus schreibt "Wie heute in der Suse Security Maillingliste sichtbar ist, ist seit heute wieder einmal ein neuer Wurm unterwegs. Unter anderem befällt er die IIS Server und versendet sich als readme.exe."
|
|
|
|
< RTLinux gibt nach im GPL-Streit | Druckausgabe | IBM: Linux Programmier-Wettbewerb für Studenten > | |
|
|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
|
|
|
|
|
|
|
|
Ich hab alle unsere IIs gesichert und getestet. Gefährdert war übrigens ausgerechnet meine Homepage, weil die auf einem reinen Entwicklungs Server liegt, der eben auch zum testen der ein- oder anderen Option geöffnet wird. Demnächst ziehe ich mit verbesserter Struktur auf einen besseren Webserver, der im Augenblick noch gar nicht fürs Internet genutzt wird.
Wichtig ist, das habe ich auch schon bei Code Red betont, nicht nur regelmässig zu patchen, sondern auch den Standartmässig mitinstallierten Index-Server zu deaktivieren. Der öffnet die meisten der Sicherheitslücken. Nur Bennenungsverknüpfungen drinlassen die wirklich gebraucht werden und auch mit asp oder php nicht zu unvorsichtig umzugehen. Hier liegt die grösste Gefahr übrigens bei ungesicherten Datenbankabfragen, durch die ein geschickter Anwender das Ergebniss einer Abfrage gehörig durcheinanderbringen kann.
Gruß, Andreas
EuphoriasChild
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Nein, aber er nutzt u.a. dieselbe Sicherheitslücke. Obiger String ist typisch für eine Angriff auf den Bug in Unicode-Umsetzung, den eben auch Code-Blue verwendet.
Was mich etwas verwundert: Der Hype hier ist deutlich übler als bei CodeBlue und ich hatte bisher grade mal 3 Requests, die diese Lücke auszunutzen versuchten und nicht von CodeBlue stammten. Nuja, vielleicht testet Nimda wirklich vorher auf IIS und setzt erst dann seinen Stachel an.
Was mir gefällt: Endlich ist mal einer auf die Idee gekommen, daß beste der bisher bekannte und gefährlichen Windoof-Viren in einen zu packen und ihn nicht von einer oder zwei Sicherheitslücken anbhängig zu machen.
Hmmm, ja, hübsch, das Ding. Und ich fahre Unix und Apache. *eg*
P.S.: Hier die Heise-Links zum momentanen Stand:
--
Einer der Gnutella-Klone heißt Gnutoka, und ich frag mich, wann Gnusspli rauskommt...
|
|
|
|
|
|
|
|
|
|
|
|
|
|
In meinem Log verschwindet CodeRed 2 Einträgen unter den Neuen und das im Verhältnis 4:1!
Seit dem ersten auftauchen habe ich schon 2760
zugriffe gezählt, einen Counter gibts auf meiner Homepage. Code Red gibt es zwar immer noch, aber immer seltener....
--
Bahnübergänge sind die härtesten Drogen der Welt.
Ein Zug und du bist weg!
|
|
|
|
|
|
|
|
|
|
|
|
|
Bei free.superhits.ch landen auch deutlich mehr Zugriffe des neuen Wurms in den logs als code red. Vor allem scheint er jedesmal gleich mehrere Anfragen gleichzeitig abzusetzen.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
AF schrieb:
3 Requests?
Ja, und zwar immer noch 3 auf unserem nicht verlinkten Test-Server und 0 auf unserem normalen Webserver und einer zweiten Spielkiste. Und auch daraufhin, das mein String "cmd.exe", nach dem ich fgreppe, falsch ist: Ein less zeigt mir nachwievor gut CodeRed-Zugriffe (grob alle zwei- bis drei Minuten), aber keine, die auf CodeBlue oder Nimda passen.
Könnte das wirklich daran liegen, daß beide Maschinen ein Unix (SunOS, Solaris, Linux) als Betriebssytem und ein Apache als Webserver? Denn unser einziger IIS in der Firma bricht fast zusammen unter den Zugriffen (grade erst erfahren, für den ist jemand anderes zuständig :-) und wird deswegen auf Port 8000 gelegt und vorerstmal per IP-Filter nur von innerhalb der Firma erriechbar sein (doppelt gemoppelt hlt besser :-).
Stellt sich die Frage, wie das Ding das erkennt, wenn nicht per HEAD-Request? (Solche sind nämlich auch keine passenden zu finden.)
P.S.: Und es freut mich noch mehr, daß sich die ganze Active-Schweinekram (aka JavaScript) Fans auf ein trockenes Leben und neue Webseiten einstellen müssen. *luftsprüngemach* ;-)
--
Einer der Gnutella-Klone heißt Gnutoka, und ich frag mich, wann Gnusspli rauskommt...
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Nein, scheint ernst gemeint zu sein. Und bei mir läuft der Navigationsbaum nur mit Javascript. *Grummel*
Gruss, Andreas
EuphoriasChild
|
|
|
|
|
|
|
|
|
|
|
|
|
Ich sag ja immer, Skripts sollen nur Serverseitig genutzt werden. Aber auf mich hört natürlich niemand.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Wednesday 19. September, 11:25 MET (#10)
|
|
|
|
|
Ganz so ist es nicht. Aber ladezeiten sind ja auch zu bedenken, wenn für jede Aktion Quelltext einer ganzen Seite geladen werden muss.
Gruß, Andreas
|
|
|
|
|
|
|
|
|
|
|
|
|
Zugegeben...das stimmt schon!
- aber warum benutzt zur Hölle niemand ein komprimiertes transfer-encoding (gzip, deflate etc)!
Zumal ich auch einer von diesen notorischen Javascript = Off surfern bin!
Man beachte: _sogar_ M$IE kann das *whoah*!
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Sage ich auch immer:
Egal, ob SSI, CGI, JSP, ASP, PHP (Könnte glatt 'ne Textzeile aus "MfG" von den Fanta-4 sein ;-), EmbPerl, ePerl, Python, Zope, MetaHTML, m4 oder sonstwas - Hauptsache kein LiveScript, JavaScript, ECMAscript, VBScript oder Shockwave für Navigation, Inhalt und andere essentielle Bestandteile von Webseiten. Wer sowas macht ist selbst Schuld und gehört geschlagen. :-)
Aber EuphoriasChild scheint hier auf Symlink sowieso etwas häufiger mit seiner Meinung bzgl. solchen Dingen alleine dazustehen. SCNR.
--
Einer der Gnutella-Klone heißt Gnutoka, und ich frag mich, wann Gnusspli rauskommt...
|
|
|
|
|
|
|
|
|
|
|
|
|
>Aber EuphoriasChild scheint hier auf Symlink
>sowieso etwas häufiger mit seiner Meinung bzgl.
>solchen Dingen alleine dazustehen. SCNR.
reine Selbstverteidigung,
aber auf den Baum verzichte ich nicht, und alle geöffneten Zweige Serverseitig verwalten? Da ist der aufwand Gigantisch. Nichtsdestotrotz wird es in der nächsten Generation so gemacht. Mehr als 200 links vorzuladen ist mittlerweile wahrscheinlich ineffektiver als zum Start 10 Zeilen HTML. Aber dann immer wieder.
Der Javascriptbaum ermöglicht aber etwas, was dann nicht mehr möglich ist, nämlich flott aus durch die Links zu klicken. Das ist ein Für und wieder, das dann so gelöst wird. Die Browser dies können kriegen die JS Version die anderen die Serverversion und Browser Ohne Frames bekommen oben den Baum und unten den Inhalt einer Seite, ähnlich wie man es von den ersten Webseiten so kennt.
Gruß, Andreas
EuphoriasChild
|
|
|
|
|
|
|
