🚀 go-pugleaf

Bueno lo que estas diciendo es bastante frequente... En ocasiones puede ser
que alguien te este tratando de atacar, pero solo en ocasiones. En muchos
casos se trata de un gusano, y a no ser de que haya salido uno nuevo basado
en ese estilo, me atreveria a decir que sera el codigo rojo. Muchas empresas
lo han herradicado, aun asi, muchos usuarios domesticos desconocen su
existencia, y lo tienen en su maquina y ni lo quitan ni nada, y de ahi que
recibas el ataque. Habitualmente, si se trata del codigo rojo, viene con su
IP real, ni proxy ni nada... Lo peor de todo suele ser que en muchos casos
no tienen activo un servicio de paginas web, al menos no sirven paginas web
a otros usuarios de internet, o no tienen creada una pagina web... Por este
motivo suele ser dificil dar con un email de contacto para darles a entender
que estan inffectados y que para lso demas, su infeccion, nos supone un
ancho de banda ciertamente considerable, asi como una molestia a la hora de
leer logs.

Por otro lado puede ser un script kiddies con un programa de deteccion de
vulnerabilidades agresivo, que deja unos logs que dan hasta miedo por el
tiempo que puede llevar leerlo. Otro posible ataque que podras ver en el
Apache, que se esta volviendo muy comun, es la prueba de "HTTP Tunneling",
es decir, que veras peticiones de CONNECT en vez de los clasicos GET, POST y
HEAD. Los del connect no suelen ser causados por un gusano, asi que
vigilalos un poco mas.

Saludos.

"David F" <david.claror@terra.es> escribi� en el mensaje
news:thLx9.285882$nc1.2252988@telenews.teleline.es...
> buenas,
> mi problema es que tengo un servidor apache,
> y desde que lo puse, no paro de recibir accesos
> del tipo GET /scripts/..%c1%1c../winnt/system32/cmd.exe?....
> en el log.
>
> resulta que el servidor �s linux, por lo que supongo que
> este tipo de cosas no deberia preocuparme.
>
> lo que pasa es que es un tipo/s muy insistente, parece no haberse dado
> cuenta que es un servidor linux, y adem�s, si va a una url inv�lida, ya
> se lo dice. (version y SO)
>
> las preguntas son:
>     1-Porque creeis que debe insistir tanto en el cmd.exe ?
>     2-como puedo saber si se conecta a traves de un proxy?
>         o realmente cual es su direccion ip.
>
> gracias
>
>
>
>
>
>
>
>
>
>