鳥哥的 Linux 私房菜 -- Code Red 偵測法

鳥哥的 Linux 與 ADSL 私房菜

偵測紅色警戒文件

最近更新日期：2001/09/17

針對目前很兇狠的 CodeRed（紅色警戒病蟲）在 RedHat 下的偵測方法：

前言：

這隻病蟲對於 Linux 並不會有危害，但是對於微軟的視窗（尤其是 windows2000 伺服器）則攻擊得很凶，雖然有消息指出可能是大陸方面的傑作，但是已經造成這麼大的問題了，我們應該好好來防制一下囉！

入侵方向與分析原理：

其實這隻病蟲主要是針對微軟在 WWW server 的漏洞進行破壞的行為，我們知道 WWW Server 的 port （可想成是通訊通道）是 80 （請參考 WWW Server 那一篇文章吧），而紅色警戒就是藉由 80 port 來登入伺服器的 WWW 服務，然後再進行破壞行為。那由於 Linux 的主機若有開放 port 80 作為 WWW 伺服器的話，就會有登錄檔呀！那如果紅色警戒這隻病蟲嘗試來登入你的 Linux 系統時，由於他是經由 port 80，所以就會在你的網頁伺服器的登錄檔中留下記錄，通常如果你是照鳥哥的方法來編譯的你的 WWW Apache Server 時，則你的 WWW 網頁登錄檔應該是在 /usr/local/apache/logs/access_log 這個檔案，這個檔案的內容有點像這樣：

61.224.44.98 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.0" 200 893
211.74.244.91 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905
211.74.210.189 - - [17/Sep/2001:15:43:29 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905
140.116.44.172 - - [17/Sep/2001:15:43:33 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 977
61.217.51.146 - - [17/Sep/2001:15:43:53 +0800] "GET /favicon.ico HTTP/1.1" 404 294
140.116.227.80 - - [17/Sep/2001:15:43:56 +0800] "GET /default.ida?XXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090
%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u
531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 282
211.74.244.91 - - [17/Sep/2001:15:43:59 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 827

像上面這個例子中，第一行中，61.224.44.98 指的是使用你 WWW 伺服器的主機名稱，後面接的是登入的日期，然後 GET 後面接的是 WWW 伺服器傳送的檔案，而在

黃色的部分則是當 CodeRed 嘗試登入你的 WWW 伺服器時，由於系統不是 Windows2000 所以會顯示的錯誤訊息

！因此，我們只要分析登錄檔（access_log）就可以知道哪一個 IP 已經中毒了！（就是看前面的 IP 囉）

病蟲的危害性質：

在已經公布的資料中， Code Red 的危害程度與性質你可以到下面的網頁中查詢道：

實例：

在 Linux 下面的第一個例子（參考仁德醫專周定賢老師的寫法）：

這個例子可以每天將你的主機中，將嘗試侵入你主機的電腦 IP 列出來，並且每 5 分鐘更新一次！

Above is a cache of http://linux.vbird.org/linux_security/old/01codered.php. It's a snapshot of the page taken as our search engine crawled the Web. The web site itself may have changed. You can check the current page or check for previous versions at the Internet Archive.

| 女裝 | 男裝 | 女裝 | 內衣 | 童裝 | 包包 | 女鞋 | 保養品 | 化妝品 | 瘦身 | 健康食品 | 護髮 | 化妝品 | 美食 | 玩具 | 禮品 | 床罩組 | 滷味 | 保健 | 家具 | 生活用品 | 家電 | 低價商品 | 手錶 |