1.1.1.1 - - [12/Jun/2002:15:52:19 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [12/Jun/2002:15:53:50 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [12/Jun/2002:15:55:20 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [12/Jun/2002:15:56:53 +0900] "-" 408 - "-" "-"
 이런류의 로그는 조작된 IP로 웹에 접근시 나오는 메시지로 보이고,
아마도 아파치 서버의 취약점을 검색 하는데 쓰이는 것으로 보입니다.
( 근데 문제가 있는게 ip조작하면 출발지로 도착하지 않으니까 아닌것 같네
요 )
아니면 dos공격 이든지 이런 메시지가 보이면 조심 하세요.
dos라고 하기에는 서버에 부하는 주는일은 없으니 까요.
진짜로 개인적인 생각은 사람이 아닌 바이러스에서 그런것 일수도 있는데
증거는 없네요.
 위의 내용은 참조만 하시구요.
로그를 분석한 후 생각입니다.
  김정균님의 의견을 깊이 생각해 보았습니다.
의견에서의 필터링에 힌트를 얻어 로그를 분석한 결과
 1.1.1.1 - - [16/Jul/2002:10:59:53 +0900] "GET /scripts/..%c1%
9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 303 "-" "-"
1.1.1.1 - - [16/Jul/2002:10:59:54 +0900] "GET /scripts/..%%35%
63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 287 "-" "-"
1.1.1.1 - - [16/Jul/2002:10:59:54 +0900] "GET /scripts/..%%
35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 287 "-" "-"
1.1.1.1 - - [16/Jul/2002:10:59:54 +0900] "GET /scripts/..%25%35%
63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 304 "-" "-"
1.1.1.1 - - [16/Jul/2002:10:59:55 +0900] "GET /scripts/..%
252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 304 "-" "-"
 7월 16일 까지의 로그인데 그때까지는 바이러스 공격에 의한 징후가 남아
있는데
 1.1.1.1 - - [25/Jul/2002:14:56:05 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [25/Jul/2002:14:57:35 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [25/Jul/2002:14:59:08 +0900] "-" 408 - "-" "-"
1.1.1.1 - - [25/Jul/2002:15:00:38 +0900] "-" 408 - "-" "-"
 7월 25일 부터는 408에러로 바뀌어 있습니다.
 이 로그의 변화와 위 아이피가 부산의 모 대학인 것으로 보아
그 학교의 내부의 컴에서 바이러스가 걸린 상태에서 학교전체에 방화벽을
설치한 것으로 보입니다.
그리고 공격 IP중 같은 학교의 것이 3개 정도 더 있는데 모두 같은 변화를
갖고 있고.
nmap으로 포트스캔을 시도했으나 잘되지 않네요.
 결론 출발지와 도착지간 이동할때 방화벽을 거치면 이러한 현상이 나오는
것이 맞는것 같네요.
 
김정균님의 의견 참 고맙습니다.
참고만 하세요, 제가 실력이 많이 없네요.
틀린내용이라도 그냥 넘어가 주시구요