鳥哥的 Linux 私房菜 -- 偵測 Nimda 病蟲

鳥哥的 Linux 與 ADSL 私房菜

偵測 Nimda 文件

實例一
實例二

最近更新日期：2001/09/24

Nimda （妠坦病蟲）於『網芳』的攻擊模式中，在 RedHat 下的偵測方法：

前言：

我們知道 Nimda 除了會以 WWW 伺服器的 port 80 攻擊模式之外，也會以『網路上的芳鄰』模式攻擊鄰近的電腦，也就是說，你的 Windows 系統只要有開啟『資源分享』或者是 win2000 底下所謂的『共用』時，就有可能被攻擊了！那我們的主機如果有開啟『SAMBA』服務時，由於 SAMBA 也是以『網芳』相同的 NetBIOS 通訊協定來作為資料傳遞的協定，因此也是會被 nimda 攻擊的，只是 Linux 即使被攻擊了，也不會發病就是了。通常，你的 Linux 主機如果被攻擊了，應該在 /var/log/samba/log.smb 裡面會出現類似的字眼：

[2001/09/23 12:33:34, 0] lib/access.c:check_access(262)
Denied connection from nbchang1.ev.ncku.edu.tw (140.116.44.156)
[2001/09/23 12:33:34, 1] smbd/process.c:process_smb(608)
Connection denied from 140.116.44.156
[2001/09/23 12:33:34, 0] lib/access.c:check_access(262)
Denied connection from nbchang1.ev.ncku.edu.tw (140.116.44.156)
[2001/09/23 12:33:34, 1] smbd/process.c:process_smb(608)
Connection denied from 140.116.44.156
[2001/09/23 12:39:05, 1] lib/util_sock.c:client_name(1030)

我不知道如何修改 SAMBA 的 log 檔案之 format ，所以只好設定每天零點將 samba 的 log file 移除，因此藉由分析當天的 log file 就可以知道當天有多少次被攻擊，當然了，這個攻擊也包括了不明人士試圖進入你主機的錯誤訊息！

寫法：

同樣的，偵測的方法也是參考兩位老師的大作所設計出來的，只是分析的 log file 不一樣，同時由於 format 不同了，也需要動一下 count.awk 這個檔案的手腳，其他的地方就都與兩位老師的大作相同了！看看實例吧！