Re: [Ayuda] logs raros en el apache

[Abel Hernandez Zanatta <ahernandez en aguascalientes gob mx>]

De hecho me paso a mi, claro fue un poco diferente por que en mi caso 
trataban de usarlo como una forma de envio de spam con el puerto 25.
Lo que significa es que alguien te quiere usar como puente para algun 
ataque de algun tipo x, tal vez spam u otra cosa.
Solo puedes ser vulnerable si tienes habilitado el modulo de proxy y no 
lo tienes bien configurado, pero si ni siquiera lo tienes habilitado ni 
te preocupes....
Creo que el apache lo saca en los logs con un 200 u OK por el metodo get 
que utilzan es del http 1.1 pero como no existe en 1.0 te lo regresa con 
un OK.
Lo que hasta ahorita no se, es si haya alguna forma de evitar que te 
salgan esos mensajes en los logs, pero pues al menos sabes con esto de 
donde estan tratando de hacer los intentos.

La otra vez, por ahi alguien posteo la liga en el cert que habla un poco 
mas respecto a esta vulnerabilidad.




Víctor Manuel Jáquez Leal wrote:
> Hola colisteros
>
> Recuerdo que ya se había discutido en la lista sobre el tema, pero no recuerdo 
> cuales fueron las conclusiones.
>
> Observamos un comportamiento anormal en un sitio web que administramos: mayor 
> tráfico repentino en un día del acostumbrado por varios meses.
>
> En lapso entre las 15:29 y 16:55 hubo 1762 peticiones por parte del IP 
> 217.227.136.72, cuyo responsable es Deutsche Telekom AG, Internet service 
> provider. 
>
> Todas fueron registradas con un formato similar:
>
> 217.227.136.72 - - [24/Feb/2003:17:00:32 -0600] "GET / HTTP/1.0" 200 40444 "http://www.online-sports-betting-bonus.com/"; "Mozilla/4.0 (compatible; MSIE 4.5; Mac_PowerPC)"
>
> Todas con una respuesta válida (200) y la misma cantidad de bytes devueltos 
> (40444), pero el dominio de referencia varió en cada petición,aunque muchos de 
> ellos no tienen resolución. También el identificador del browser varió de 
> petición en petición.
>
> ¿Qué significa esto?
> ¿Qué pretende?
> ¿Qué respuesta estará mandando el apache?
> ¿A alguien le ha pasado algo similar?
>
> Si plantean la opción de que el Apache este fungiendo como proxy, no es así, ya
> lo chequé.
>
>
> ------------------------------
> Víctor Manuel Jáquez Leal
> http://www.coral.com.mx/ceyusa
> _______________________________________________
> Ayuda mailing list
> Ayuda en linux org mx
> Para salir de la lista: http://mail.linux.org.mx/mailman/listinfo/ayuda/



--
Ing. Abel Hernandez Zanatta
Isssspea
Soporte Tecnico y Redes
01(449)910-2080 ext. 3835 01(449)910-2081 Cell 044 449 4486118

_______________________________________________
Ayuda mailing list
Ayuda en linux org mx
Para salir de la lista: http://mail.linux.org.mx/mailman/listinfo/ayuda/