Es kann zudem auf fehlerhaften .html oder .php code hindeuten (broken links, <img>, <object>).
Der Rest sind eventuell Einbruchversuche der Skript Kiddies, oder auch ernsthafte Versuche, die man lernen muss zu beurteilen (googeln hilft):
Code: Select all
[Fri Nov 23 23:58:31 2007] [error] [client 356.242.117.151] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.MSlog:)
ist z.B. ein scanner, dwer den Server auf Schwachstellen abscannt, und der als tool für admins nicht empfohlen wird:
http://isc.sans.org/diary.html?storyid=900
http://www.google.de/search?q=w00tw00t
http://www.kallensee.info/journal/index ... sansdfind/
Code: Select all
[Fri Nov 23 14:02:55 2007] [error] [client 356.225.18.143] File does not exist: /var/www/munin/localdomain/localhost.localdomain-courier_mta_mailvolume-wee
Hier konnte mein munin-graph zum Monitoring die Datei wegen fehlender Server-Resourcen nicht erstellen, daher fehlt sie nun.
Code: Select all
Nov 23 10:05:52 pvXX postfix/sendmail[32106]: fatal: logcheck(109): unable to execute /usr/sbin/postdrop -r: Success
Postfix konnte wegen dem Resourcenproblem nicht komplett ausgeführt werden.
Code: Select all
Nov 23 10:05:54 pvXX /USR/SBIN/CRON[25652]: (logcheck) MAIL (mailed 475 bytes of output but got status 0x004b )
s.o.
Code: Select all
[Fri Nov 23 10:39:09 2007] [error] [client 356.120.186.58] File does not exist: /home/userxyz/www/docs/www.serverdomain.de/scripts/ie7/ie7-standard.js
Hier sollte ich nochmal in den code der Seite gucken, da dort wohl eine falscvhe referenz auftaucht.
Code: Select all
318.77.105.145 - - [23/Nov/2007:06:39:25 +0100] "x05x02" 501 - "-" "-"
318.77.105.145 - - [23/Nov/2007:06:39:36 +0100] "x04x01zx0cxc3xe1kx11firefox" 400 - "-" "-"
318.77.105.145 - - [23/Nov/2007:06:39:36 +0100] "CONNECT 395.225.107.17:31244 HTTP/1.0" 405 231 "-" "-"
[Fri Nov 23 06:39:25 2007] [error] [client 318.77.105.145] Invalid method in request \x05\x02
[Fri Nov 23 06:39:36 2007] [error] [client 318.77.105.145] Invalid URI in request x04x01zx0cxc3xe1kx11firefox
Dies scheint ein Angriffsversuch zu sein.
http://www.google.de/search?q=Invalid+m ... 5%5C%5Cx02
Code: Select all
81.169.154.94 - - [23/Nov/2007:04:37:03 +0100] "HEAD / HTTP/1.1" 200 0 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; ODP entries t_st; http://tuezilla.de/t_st-odp-entries-agent.html)"
Code: Select all
[Fri Nov 23 00:44:46 2007] [error] [client 389.110.46.102] request failed: URI too long
System Events
=-=-=-=-=-=-=
389.110.46.102 - - [23/Nov/2007:00:44:46 +0100] "SEARCH /CCCCCCCCCCCCCCC[...]CCCCCCCCCCCCCCCONCCCCCCCCCC[...]CCC
Angriff:
http://www.google.de/search?q=+%22reque ... oo+long%22
http://apache.slashdot.org/article.pl?s ... 12/1927226
Code: Select all
312.95.252.16 - - [22/Nov/2007:18:20:25 +0100] "HEAD /spicons/apache_pb.gif HTTP/1.0" 404 0 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
Harmlos (?)
http://www.google.de/search?q=HEAD+%2Fspicons%2F+404
Code: Select all
[Thu Nov 22 16:41:06 2007] [error] [client 317.225.24.251] File does not exist: /var/www/typo342/tyxpo3
Eingabefehler meinerseits.
Code: Select all
Nov 22 08:00:28 pvXX /usr/bin/crontab[32727]: (root) LIST (nobody)
Chkrootkitlauf > The chkrootkit program causes this entry.
http://www.google.de/search?q=%22%28roo ... body%29%22
Code: Select all
194.72.238.62 - - [22/Nov/2007:03:21:36 +0100] "HEAD / HTTP/1.0" 200 0 "http://www.netcraft.com/survey/" "Mozilla/4.0 (compatible; Netcraft Web Server Survey)"
89.48.9.204 - - [23/Sep/2007:04:34:36 +0200] "HEAD / HTTP/1.1" 200 0 "-" "Xenu Link Sleuth 1.2g"
Netcraft, google & Co.
Code: Select all
EACCELERATOR: Open for write failed for "/tmp/eaccelerator/e/4/eaccelerator-94963.053584864": No such file or directory
Eaccelerator-Optcache-Fehler
Code: Select all
[Thu Sep 6 13:29:23 2007] [error] [client 311.233.58.152] File does not exist: /var/www/phpmyadmin/main.php
[Mon Aug 20 02:38:51 2007] [error] [client 362.81.224.167] File does not exist: /var/www//README
[Mon Aug 20 02:38:51 2007] [error] [client 362.81.224.167] File does not exist: /var/www/horde//README
[Mon Aug 20 02:38:51 2007] [error] [client 362.81.224.167] File does not exist: /var/www/horde2//README
[Mon Aug 20 02:38:51 2007] [error] [client 362.81.224.167] File does not exist: /var/www/horde3//README
[Mon Aug 20 02:38:52 2007] [error] [client 362.81.224.167] File does not exist: /var/www/horde-3.0.9//README
[Mon Aug 20 02:38:52 2007] [error] [client 362.81.224.167] File does not exist: /var/www/Horde//README
[Mon Sep 10 01:57:35 2007] [error] [client 367.19.130.66] File does not exist: /var/www/mail//README
[Mon Sep 10 01:57:36 2007] [error] [client 367.19.130.66] File does not exist: /var/www/email//README
[Mon Sep 10 01:57:36 2007] [error] [client 367.19.130.66] File does not exist: /var/www/webmail//README
[Mon Sep 10 01:57:37 2007] [error] [client 367.19.130.66] File does not exist: /var/www/newmail//README
[Mon Sep 10 01:57:37 2007] [error] [client 367.19.130.66] File does not exist: /var/www/mails//README
[Mon Sep 10 01:57:37 2007] [error] [client 367.19.130.66] File does not exist: /var/www/mailz//README
Zu der Zeit gab es wohl exploits für horde, und man schaute nach, ob ich die unsichere Version dieser Webapplikation installiert habe.
Code: Select all
Sep 7 09:42:56 pvXX sshd[30169]: Failed password for ftp from 310.0.143.13 port 2827 ssh2
Sep 7 09:43:00 pvXX sshd[30337]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=310.0.143.13
Sep 7 09:38:07 pvXX sshd[13990]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=310.0.143.13 user=root
Sep 7 09:38:10 pvXX sshd[13990]: Failed password for root from 310.0.143.13 port 2211 ssh2
"Bruteforce" Attacke auf den sshd. sshd sollte unbedingt sicher konfiguriert sein, am Besten ohne Passwortabfrage, zumindest mit einem sicheren Passwort, und eventuell an einem Port >10000 lauschen (weniger wegen der Sicherheit, als wegen des Rauschens in den logfiles).
logcheck und watchlog senden Dir entsprechende emails zu, wenn etwas außergewöhnliches passiert.
Ganz wichtig ist, die installierten Webanwendungen auf Sicherheitslücken zu überprüfen (versionen mit den aktuellen Sicherheitsreleases vergleichen, eigene Skripts nach Schwächen untersuchen), und die PHP-Konfiguration sicher machen, z.B.:
http://www.rootforum.org/forum/viewtopic.php?t=36346
Unter den Weblinks dieses wikipediaartikels findest Du einige Anlaufstellen, um Dich über die Sicherheitslage zu informieren:
http://de.wikipedia.org/wiki/Sicherheit ... e#Weblinks
Und hier kannst Du dann weiterlesen:
http://www.rootforum.org/forum/viewtopic.php?t=349
Frage: gibt es so etwas wie den Maui Security Scanner - Webanwendungsscanner auch als OpenSource-Lösung. Ok, über den Sinn läßt sich streiten...
