🚀 go-pugleaf

Muchas gracias por la respuesta.

Investigar� un poco mas.
le hice un scan de puertos a alguno, y tenia:

smtp (le hice telnet, pero no me acuerdo que SO era)
algunos incluso tenian netbios abierto, lo que me extra�a.

Tiene toda la pinta de ser lo que tu dices, un usuario que no sabe
que tiene el gusano..... (si fuera un ataque, no creo que el tipo
tuviera abiertos tantos puertos, ni que se conectara con su IP,
y ademas, se daria cuenta enseguida que el webserver esta
sobre linux)

Bueno, gracias por todo.
 nota: de todos modos, como puedo saber si se trata de un proxy,
teniendo una lista de proxies i comparando ip?

hay en algun sitio una lista de rangos ip que utilizan los ISP?



"-={JPG}=-" <jpg4u@hotpop.com> escribi� en el mensaje
news:WqPx9.291429$nc1.2313169@telenews.teleline.es...
> Bueno lo que estas diciendo es bastante frequente... En ocasiones puede
ser
> que alguien te este tratando de atacar, pero solo en ocasiones. En muchos
> casos se trata de un gusano, y a no ser de que haya salido uno nuevo
basado
> en ese estilo, me atreveria a decir que sera el codigo rojo. Muchas
empresas
> lo han herradicado, aun asi, muchos usuarios domesticos desconocen su
> existencia, y lo tienen en su maquina y ni lo quitan ni nada, y de ahi que
> recibas el ataque. Habitualmente, si se trata del codigo rojo, viene con
su
> IP real, ni proxy ni nada... Lo peor de todo suele ser que en muchos casos
> no tienen activo un servicio de paginas web, al menos no sirven paginas
web
> a otros usuarios de internet, o no tienen creada una pagina web... Por
este
> motivo suele ser dificil dar con un email de contacto para darles a
entender
> que estan inffectados y que para lso demas, su infeccion, nos supone un
> ancho de banda ciertamente considerable, asi como una molestia a la hora
de
> leer logs.
>
> Por otro lado puede ser un script kiddies con un programa de deteccion de
> vulnerabilidades agresivo, que deja unos logs que dan hasta miedo por el
> tiempo que puede llevar leerlo. Otro posible ataque que podras ver en el
> Apache, que se esta volviendo muy comun, es la prueba de "HTTP Tunneling",
> es decir, que veras peticiones de CONNECT en vez de los clasicos GET, POST
y
> HEAD. Los del connect no suelen ser causados por un gusano, asi que
> vigilalos un poco mas.
>
> Saludos.
>
> "David F" <david.claror@terra.es> escribi� en el mensaje
> news:thLx9.285882$nc1.2252988@telenews.teleline.es...
> > buenas,
> > mi problema es que tengo un servidor apache,
> > y desde que lo puse, no paro de recibir accesos
> > del tipo GET /scripts/..%c1%1c../winnt/system32/cmd.exe?....
> > en el log.
> >
> > resulta que el servidor �s linux, por lo que supongo que
> > este tipo de cosas no deberia preocuparme.
> >
> > lo que pasa es que es un tipo/s muy insistente, parece no haberse dado
> > cuenta que es un servidor linux, y adem�s, si va a una url inv�lida, ya
> > se lo dice. (version y SO)
> >
> > las preguntas son:
> >     1-Porque creeis que debe insistir tanto en el cmd.exe ?
> >     2-como puedo saber si se conecta a traves de un proxy?
> >         o realmente cual es su direccion ip.
> >
> > gracias
> >
> >
> >
> >
> >
> >
> >
> >
> >
> >
>
>