HimaJyunWebサーバを稼働させ、WWW上にWebページを公開していると、明らかにおかしいアクセスがこんにちはするのは皆さんご存知かと思われます。言え、それらが何を企み、どこをどうしようとしているのかが分からないのは少々不安です。いくつかパターンを抽出して調べてみました。残念ながら世の中には悪い連中が沢山居るみたいで......いくつかの悪い奴らをご紹介しようと思います。"-"良い事なんだか悪い事なんだか、ちょっぴり有名みたいで......具体的な動き方は以下の通り最初にランダムにアクセスしようと試みる(今回の場合は/phph/php/ph.php)次に/phpMyAdmin/scripts/setup.phpにアクセスしようとします(存在をスキャン)その後、考えられる名前候補(pmaとmyadmin)で同じ事をしますこいつ、毎日凄まじい回数やってきやがります。亜種(?)も存在するらしく、なんだか妙なUserAgentを送ってきたりします。PHPMyAdminと言うのはMySQLと言うデータべースをブラウザから管理出来るツールです。PHPと言う名前だけあって、PHPで出来ています、この「scripts/setup.php」にアクセスしようとしてきます。PHPMyAdmin自体が他人に見せる物では無いのですが「scripts/setup.php」は古いMyAdminにしか無く現在(4.X系)にはこのファイル自体がありません。このアタックで被害を受けるのは古いMyAdminを用いている不用心なサーバのみです。www.morihi-soc.netこいつは単体(?)でやってきます。400さて、当たり前ですがtmUnblock.cgiなんてありません。BadRequest(正しく無い要求)」を応答しています。このBotはLinksysと言うメーカの一部シリーズに報告された脆弱性を狙う様です。Linksys(リンクシス)はシスコシステムズの傘下にあるメーカです。1155身に覚えもないtw(台湾)ドメインに、如何にもメールって感じのアドレスで、しかも、ポート25(SMTP:メール)へのCONNECTの送信どこからどう見ても怪しい上にApacheが、成功(HTTP200)を返してしまっています。スパム屋さんがWeb鯖を踏み台にして、スパム配信を試みている様です。成功(200)を返してしまっていますが、CONNECTは、Apacheでプロキシ関連のモジュールを読み込まないと利用出来ないはずです。そんな物読み込んだ覚えは無い。200???と、思い、調べてみるとApacheのドキュメントルートにCGI(PerlやPHP)を設置していると、プロキシ中継成功の有無に問わずHTTP200を返す(と、言うより失敗してもトップページを表示するから200に見える)らしいです。確かにサーバールートはindex.phpです。念のため、モジュールを確認しましたが、もちろんプロキシなんてありません良くわからないので、参考サイトと同じようにテストしてみました。LAN内からtelnetコマンドを使います。lang="ja"><head><title>トップページ</title>~~略~~外部から発行したtelnetでも同じ結果が返ってきました。言う仕様、もしくはバグの一種でしょう。試しに、index.phpをindex.htmlに変更して試してみましょう。Allowed問題なさそうですね、HTTP200でしたが、心配ありませんでした。(該当のアクセスがあった方は念のため確認してみて下さい)ちなみに、亜種も居ます。"Python-urllib/2.7"Pythonでurllib(URLを扱うライブラリだと思われ)を用いて実行して居ますね。狙ったファイルは......epgrec?のシステム設定?、epgrecってなんぞや?調べてみた所、EPGrecはLinux向けテレビ番組録画予約システムで、なんでもWeb経由でテレビ番組を録画出来るんだとか?これの脆弱性を狙った攻撃のようです。これ、日本発のソフトで、利用しているユーザもほぼ日本人のみ、しかもLinux向け普通に考えて、マイナー過ぎるシステムをピンポイントで狙うとは何事か?と、思いますが、どうやら脆弱性を狙って攻撃するらしいです。攻撃するということは、攻撃する価値があるという事。何に価値を見出しているのかというのは二行目のログが語っています。ログの2行目「/animeprogram/index.php」太字の所、落ち着いて読んでみて下さい。「アニメプログラム」と読み取れますね。指定しているディレクトリ名が「アニメプログラム」になっている。予想にしか過ぎないけど、この/animeprogram/には録画されたアニメが保存されるのだと思います。外人の所謂ダークサイドオタクが日本のアニメ番組を求めて実行しているらしいです。日本人として、それくらいアニメが人気であるという事は嬉しいのですが......なんせやり方が......大抵こういう奴は不正アクセス+違法アップロードなんていう救いようのないバk......ですし、自分で見るためでなく、アップロードして崇められたり広告費を得るためです。残念ながらこのサーバはWebサーバ、何をどう間違えても録画用サーバなんかじゃありません。max*\");'"BashのShellShockを狙った攻撃ですね。ShellShockで実行しようとしているのは以下の通り。max*");'分かるだけ解説していきましょう。:;};ShellShockのそれですね。text/plain\\r\\n\\r\\nXSUCCESS!\";これでプレーンテキストを偽り(\r\nはいわゆる改行です。)system()これでシェルコマンドを実行しようとしています。ダウンロードしたものを消すつまり、何が何でも64.32.12.152からgnu-bash-max-racesをダウンロードしたい模様ですね。どんな面白い物が入ってるのか気になったのでwgetをしてみましたが、既にそこにお宝はありませんでした......が、当サーバはとっくの昔にShellShockは対策済みのため、無問題です。-nURLからのインクルードを有効にして、セーフモード切って......?最後にinput(標準入力)から受け取った物を使おうとしている辺り、POSTで渡された本文にヤバい物が含まれていると予想とは言え、これが効いちゃうサーバなんてない気がします、何年前の脆弱性だよコレ、って感じ。s~giuuytrh-13)"バックアップのアーカイブ狙いですね。sqlも狙っている辺り、パスワードをレインボーテーブルで割りたいのか、もしくはこのブログの完全なるクローンを作成したいのだと思われます。AppEngineでこんにちはしている点です。(UAは自称なので、そう偽っているだけかもしれませんが)短期間だけ高性能なサーバを借りて(もしくは無料枠を使って)超速で収集、終わったらインスタンスを破棄、みたいなスタンスですかね?(そうすれば安価で素早く大量に手に入れられますからね)そもそもHTTPでアクセス出来る範囲にバックアップを置く奴居るの?Webから見られる範囲にバックアップのアーカイブを置かないなんて至極当然の事です。最後に嫌な世の中ですねぇ......今回紹介したのはほんの一例です、実際はもっと多彩な攻撃が沢山飛んできます。16.04、私は早くもアップグレード予......続きを読む→[Bash]screenが終了するまで待機する僕の運営するマイクラ鯖はscreenで動かしています。1.9がリリースされてしまいました。解き放......続きを読む→PREVShadowPlay(Share)で録画した動画をAviUtlで編集するNEXT[Minecraft]Spigot1.8サーバをLinuxでビルドするナカのヒト:HimaJyun​散って美しいのは桜だけです、情報はまとまっていた方が美しいのです。