記事ですが、さくらのVPSに来ているアクセスを追っていると、この攻撃はここ1週間ほど猛烈な勢いで行われているようです。日本国内でもかなりの数のサーバが攻撃を受けてボット化している気がする(というか、気がするんじゃなくて事実しているはず)ため、ここでちょっとした注意喚起をしてみたいと思います。いうかこの攻撃、名前付いてないんでしょうかね。徳丸浩の日記)確認が必要な対象者CGI版PHPをインストールしてインターネットに公開しているWebサーバ管理者です。ここで注意しないといけないのは、CGI版PHPはインストールしているつもりが無くても入ってしまっている場合が多々あるということです。そのため、以下のURLを実際に自分で叩いてみましょう。Found]ならば対処の必要はありません。Error]ならば確認の必要があります。Apacheで設定している/cgi-bin/を直接覗いてみてももちろん構いません。ディレクトリの場所を確認し、該当パスにcdしてからlsして、php*という名前のファイルが無いかを確認してください。php*phpファイルがあれば確認が必要です。PHPのバージョン確認まず、お使いのサーバにインストールされているCGI版PHPのバージョンを確認します。パス名は各自の環境に合わせて読み替えてください。5.4.3"ならばさらに確認が必要です。5.4.2なので、もちろん確認が必要です。未知の脆弱性がある可能性もあるため、対象外のバージョンでもアクセスログの確認はお勧めします。攻撃を受けたかどうかの確認ここ1週間ほどの我が家での観察によると、この魔法少女アパッチ☆マギカ攻撃(でいいのか?)は、Webサーバの以下のパスを狙ってきます。/cgi-bin/php/cgi-bin/php4/cgi-bin/php5/cgi-bin/php-cgi/cgi-bin/php.cgiなおアクセスの際、/cgi-bin/phpなどパス部分は丸ごとURLエンコードされている場合が多いため、単純にアクセスログを'/cgi-bin/php'でgrepしても引っかからないことが多いです。URLエンコード後の'/%63%67%69%2D%62%69%6E/%70%68%70'でもgrepしないといけません。access_log*※きちんと/cgi-bin/phpで攻撃してくる人もいるため、両方でgrepしないといけません。攻撃グループによって違うのかなログを確認してみて、攻撃を受けていると(というか相当広範囲にスキャンしているようなので、アクセスがある方が普通だと思います)、以下のようなアクセスログが見つかると思います。"-"今までもPHPには多くの脆弱性が見つかってきましたが、それらはindex.phpなどの「サーバに設置されたPHPスクリプトファイル」がターゲットでした。そのため、「脆弱性のあるCGI版PHPをサーバにインストールしているけど、サーバ上にindex.phpなどのPHPスクリプトのファイルを置いていない」場合は実質的に無害となっていました。具体的には、数年前にLinuxをインストールして、そのまま放置されているサーバ、というケースです(かなり多そう)。今回の脆弱性は/cgi-bin/phpを直接狙うため、サーバにindex.phpなどのPHPスクリプトを置いていなくても(さらには、ApacheでAddHandlerしてCGI版PHPの設定をしていなくても)、/cgi-bin/phpさえあれば攻撃が成立してしまいます。OKだった場合は、既に攻撃を受けてボット化している可能性が非常に高いです。"-"Apacheのアクセスログの出力設定にもよりますが、デフォルトならばクライアントからのリクエストの次のカラムに来る数字3ケタが返却しているHTTPステータスです。Error)を返していることになります。これが200を返していたら、そのサーバは攻撃を受け付けてしまった可能性が高いです。攻撃を受けてしまっていたらうちのハニーポットもどきサーバでの観察は以前の日記に書きましたが、C&Cサーバに接続してバックドアを開くためのbotが既に設置されてしまっていると思われます。あなたのサーバは既にボットネットに組み込まれたゾンビPCとなっています。そのため、ネットワークからの切り離しが最優先です(切り離す直前にnetstatコマンドを打ち、どこに通信していたかの記録保全はしておいた方がいいかもしれません)。この攻撃ではhttpdの実行ユーザ権限で任意のコマンドが実行されますので、httpdを実行しているユーザで不審なプロセスが動いていないか確認します。$0を書き換えて動作させるものがほとんどなので、psコマンドの出力は偽装されています。cauxwwと、cを付けたものと付けないもので確認しましょう。cauxww(httpd実行ユーザで動いているプロセスのうち、不審なものが無いかを確認)しかし現実的には、サーバ初期化が最短の道でしょう。Qiitaの19日目です。関する罪」の情報公開請求をしました月別アーカイブはてなブログをはじめよう!ozumaさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。