|
Welcome to |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
ちまたで噂のCode Redワームがうちにも来襲してきた。なにせ向こうはIPアドレスめった打ちだから、うちのような無名サイトにも平等にアクセスしてくる。初来襲は7月20日の0:55:44。うちのApacheに対し GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090 %u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u 531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 400 26 という、何らかのバッファ・オーバーフローを狙ったアクセスをしてくる。もちろんApacheには関係ない。こんなもんで簡単にやられるのはIIS( Microsoft Internet Information Server)と相場が決まっている。 最近飽きてきたが、悪質なアクセスについては一応、下記の手順で調べることにしている（もっといい方法があったら情報下さい）。
ちなみにサーバー情報の不正取得はChina系から最近よく来ており、これが今回のCode Redの張本人なのかもしれない。 Code Redを最初に発見したのは20日の１時すぎ。もちろん最初からCode Redなんてわからなかった（後でZDNET見て、はやっていることを知った）。IPアドレスを手がかりに調べたところ、上記2までの操作でジョージア工科大学の管理IPであることがわかった。また3の操作でIISが動いていることはわかったが、どんなサイコ野郎がＰＣをいじっているかわからないので、直接スキャンするのはやめ、ジョージア工科大学のWebmasterに文句のメールを書いた。内容は「お前の管理IP内で馬鹿なことをやっているＰＣがある。ASAPで対策立てないと、事実を公開するぞ」というもの。 ここまでやったところで夜中の２時を回ってしまった。再度ログを見ると、またある！ 今度はソルトレーク･トリビューンという新聞社の管理IPらしい。そしてこれにもIISが動いている。とりあえずこの会社の表看板のWeb SiteのWebmasterに文句のメールを書く。内容は上記と同じだが、「～公開ずるぞ。」の後に「お前のところは出版社か？」と付記(02:33)。 最初のアクセスと内容が全く同じなのと、２回目の送信元が一応まっとうそうな会社だったので、勇気を持って２回目のIPアドレスにブラウザで直接アクセス。これはどうも新聞社の特定顧客のためのサービスWeb Siteのようだ。こういう裏のサーバーって、管理甘くなっちゃうんだよね。 おおっ。ソルトレーク･トリビューンのTS氏からメールの返信が来た(02:50)。 「このIPアドレスは確かに当社の管理下だが、何かの間違いじゃないか？ 一応解析したいのだが君のログの日付が明日を差していてさっぱりわからん。 出版社・・・そうだよ。うちはユタ州最大の新聞社だ」。 メールの返信に喜びつつも、ちと怒りモード「うちは日本、JSTなの (+09:00って記録あるだろ)。とにかくベストを尽くしたまえ」と送信(03:00)。しばらく後、TSから返信(03:15)。「君の指摘通り、ハックされていた。連中は中国人らしい。ふざけたindex.htmlとバックドアを残していた。これらは全て取り除いた」。再度送信(03:25)「よくやった。おやすみ（こっちは日本だ）」。TSから最後の返信(03:37)「おやすみ。尤もサーバー管理者が眠れるというのなら」 実際寝ようと思ったのだが、アクセスログを見るとさっきよりさらに３個増えている。待てよ、TSはIISのセキュリティホールからハックされたとあったな。ということは・・・増えた３個どれにもIISが動いていた。これら５つのサイトは全て中国人（の悪口言うなよ！友達いるんだから）に乗っとられていたというわけか。 そして、とりあえず寝た。 翌日、最初のアクセスをしてきたジョージア工科大学のIPにブラウザで直接アクセスしてみた。サイコ野郎ではなく、無害な同人グループがWebを運営しているだけだった。ここにも文句のメールを送信。「馬鹿なIISなんかで運営するな！」のコメントを追加。深夜そこから陳謝の返信が来る。P.S.が泣ける。「ミスター、君の言うとおりIISは確かに馬鹿だ。だが私はこのサーバーの管理者とはいえ、ただのパートタイムでおまけにIISはノービスなんだ」。力が抜ける。 ちなみにcode redに感染したと思われるIISサーバーからの来訪は、28個に達した。上記を含め3箇所にメールを書き、それぞれ修正したと思われるが、残りの25個は知らん。また来月ホワイトハウスを襲おうとするのだろうか。まぁMicrosoftがやるべき仕事だろう。
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
