apacheのログからNIMDA、CODEREDの見分け方

質問

apacheのログから、Nimda,CodeRed,Codered(2)のそれぞれの
攻撃を受けたかを判別する方法はあるのでしょうか？
root.exe,cmd.exe,default.idar,Admin.dll等は、nimdaでも
CodeRedでもありえるのでしょうか？

回答No.2

noname#41381 · ベストアンサー

J_ANBIさんのいうとおりCodeRed(2も)は「default.ida」にリクエストだしますね。
http://www.ae.wakwak.com/~sysportcore/sysport/kb/security/coderedworm.htm

Nimdaと区別が難しいのはCodeBlueですね。（参考URLを）
これは一連のリクエスト動作から判断するのではないでしょうか？

参考URL：

http://dog.intcul.tohoku.ac.jp/security/nimda/

回答No.1

J_ANBI

default.idaを狙ってくるのが、CodeREDで、root.exeとcmd.exeを狙ってくるのが、Nimdaの筈です。また、特徴として、両方ともオーバーフローを狙ってくるので、要求されたアドレスが大変冗長になっている筈です。
　これをヒントにgrepか何かを使ってaccess_logを検索すれば、判別できるでしょう。