bashの脆弱性を突くアクセス

2014年9月26日 / 未分類

bashの脆弱性が話題です。
bashの脆弱性(CVE-2014-6271) #ShellShock の関連リンクをまとめてみた – piyolog

うちに攻撃が来てないかどうかaccess.logをgrepしてみた。

tkito@sakura:/var/log/apache2$ grep "()" access.log
209.126.230.72 - - [25/Sep/2014:09:13:47 +0900] "GET / HTTP/1.0" 200 929 "() { :; }; ping -c 11 209.126.230.74" "shellshock-scan (http://blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html)"
xx.xx.xx.xx - - [25/Sep/2014:17:45:57 +0900] "GET /cgi-sys/defaultwebpage.cgi HTTP/1.0" 404 508 "-" "() { :;}; /bin/ping -c 1 198.101.206.138"

こんな感じ。
うちは元々のアクセス数も少ないサイトなので現状この程度。

1行目はErrata Securityによるshellshock-scanである。
アクセス元IP、ping先IP共にErrata SecurityのIPアドレスであり、問題のあるアクセスではない。

2行目は、恐らく善意ではなく脆弱なサービスを探索するスキャンだと思われる。
アクセス元はオランダのIP、ping先はクラウドサービスのIPであり、実施者の詳細は不明。
GET対象のパスを調べたところ、cPanelというサーバ管理ソフトで使われるものらしい。
いかにも内部でsystem関数なりでコマンド発行してそうなソフトである。

注意

うちの場合grepしてわかったのは上記の2件だけだが、それで全てだと思ってはいけない。
shellshock-scanのブログを見ると、リクエストヘッダのうちCookieとHostとRefererにコードを入れていて、実際にアクセスログに残っているのはRefererのみであった。
当サーバのログはcombinedで残すようになっている(デフォルトのまま)が、CookieとHostはアクセスログには残っていない。
他にもデフォルトでログに残らないヘッダはある(Accept-Encodingなど)ので、ログに残ってなかったからといって攻撃がなかったというわけではない。
自分が攻撃者ならできるだけログに残らない方法でスキャンを行う。
気づかないうちにバックドアが仕掛けられているかもしれないのだ。
危険なCGIなどを設置していたサーバは入念な調査が必要だと思われる。
(※本当に痕跡残さずに攻撃が可能かどうかは時間がなくて検証してない)

 

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

ERROR: si-captcha.php plugin: GD image support not detected in PHP!

Contact your web host and ask them to enable GD image support for PHP.

ERROR: si-captcha.php plugin: imagepng function not detected in PHP!

Contact your web host and ask them to enable imagepng for PHP.

TOPへ戻る