鳥哥的 Linux 私房菜 -- Code Red 偵測法

鳥哥的 Linux 與 ADSL 私房菜

偵測紅色警戒文件

最近更新日期：2001/09/17

針對目前很兇狠的 CodeRed（紅色警戒病蟲）在 RedHat 下的偵測方法：

前言：

這隻病蟲對於 Linux 並不會有危害，但是對於微軟的視窗（尤其是 windows2000 伺服器）則攻擊得很凶，雖然有消息指出可能是大陸方面的傑作，但是已經造成這麼大的問題了，我們應該好好來防制一下囉！

入侵方向與分析原理：

其實這隻病蟲主要是針對微軟在 WWW server 的漏洞進行破壞的行為，我們知道 WWW Server 的 port （可想成是通訊通道）是 80 （請參考 WWW Server 那一篇文章吧），而紅色警戒就是藉由 80 port 來登入伺服器的 WWW 服務，然後再進行破壞行為。那由於 Linux 的主機若有開放 port 80 作為 WWW 伺服器的話，就會有登錄檔呀！那如果紅色警戒這隻病蟲嘗試來登入你的 Linux 系統時，由於他是經由 port 80，所以就會在你的網頁伺服器的登錄檔中留下記錄，通常如果你是照鳥哥的方法來編譯的你的 WWW Apache Server 時，則你的 WWW 網頁登錄檔應該是在 /usr/local/apache/logs/access_log 這個檔案，這個檔案的內容有點像這樣：

61.224.44.98 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.0" 200 893
211.74.244.91 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905
211.74.210.189 - - [17/Sep/2001:15:43:29 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905
140.116.44.172 - - [17/Sep/2001:15:43:33 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 977
61.217.51.146 - - [17/Sep/2001:15:43:53 +0800] "GET /favicon.ico HTTP/1.1" 404 294
140.116.227.80 - - [17/Sep/2001:15:43:56 +0800] "GET /default.ida?XXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090
%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u
531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 282
211.74.244.91 - - [17/Sep/2001:15:43:59 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 827

像上面這個例子中，第一行中，61.224.44.98 指的是使用你 WWW 伺服器的主機名稱，後面接的是登入的日期，然後 GET 後面接的是 WWW 伺服器傳送的檔案，而在

黃色的部分則是當 CodeRed 嘗試登入你的 WWW 伺服器時，由於系統不是 Windows2000 所以會顯示的錯誤訊息

！因此，我們只要分析登錄檔（access_log）就可以知道哪一個 IP 已經中毒了！（就是看前面的 IP 囉）

病蟲的危害性質：

在已經公布的資料中， Code Red 的危害程度與性質你可以到下面的網頁中查詢道：

實例：

在 Linux 下面的第一個例子（參考仁德醫專周定賢老師的寫法）：

這個例子可以每天將你的主機中，將嘗試侵入你主機的電腦 IP 列出來，並且每 5 分鐘更新一次！