Skip to content
{ 2008 01 15 }

(Vermeintlich) verseuchte Windows-Kisten

Gerade eben aus aktuellem Anlass mal das error_log eines unserer Webserver näher angeschaut und was sieht man da:

[..]
[Tue Jan 15 10:21:00 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/_vti_bin
[Tue Jan 15 10:21:00 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/MSOffice
[Tue Jan 15 10:21:41 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/_vti_bin
[Tue Jan 15 10:21:41 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/MSOffice
[Tue Jan 15 10:24:45 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/_vti_bin
[Tue Jan 15 10:24:45 2008] [error] [client *.*.*.*] File does not exist: /home/foobar/html/MSOffice
[..]

Normalerweise ignoriert man sowas ja, da das zum normalen Hintergrundrauschen im Internet gehört.

Aber neugierig ist man manchmal ja doch:

$ whois *.*.*.*
inetnum: *******
netname: *******
descr: *******

Noch Fragen?

Edit:

Laut http://lists.jammed.com ruft anscheinend auch der IE mit einer gewissen Erweiterung diese URLs auf, um bestimmte Fähigkeiten des vermeintlichen IIS-Webservers abzufragen.

Es gibt also scheinbar neben Nimda & Co. doch noch legitime Requests für solche URLs.

Deshalb auch IP-Adresse und Netblock-Owner unkenntlich gemacht.

Posted by Marcel on Dienstag, Januar 15, 2008, at 10:38. Tagged Arbeit, Security, Windows. Follow any responses to this post with its comments RSS feed. Both comments and trackbacks are currently closed.

{ 4 } Comments

  1. jesse | 15. Januar 2008 at 14:23 | Permalink

    Grosses Kino. Nice Digg :]

  2. Matthias | 15. Januar 2008 at 14:34 | Permalink

    *lol*

  3. krisz | 15. Januar 2008 at 17:38 | Permalink

    Ich bezweifle, dass das verseuchte Kisten sind. Windows stimmt allerdings, genauer gesagt ist der Internet Explorer daran schuld. Such mal nach dem Verzeichnis-Teil "_vti_bin" und du wirst sehen, was die Ursache ist.
    Darauf gekommen bin ich, weil ich ab und zu was mit dem Microsoft SharePoint Server zu tun habe, welcher auf dem IIS Webserver läuft.

  4. Marcel | 15. Januar 2008 at 18:54 | Permalink

    @krisz:

    Danke für den Hinweis - hab den Artikel überarbeitet.