Пытаюсь понять, это следы брута в логах?

Question

[Иван Петров]

37.46.114.115 - - [25/Apr/2021:08:57:47 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [25/Apr/2021:08:57:49 +0300] "POST /manager/ HTTP/1.0" 200 7670
37.46.114.115 - - [25/Apr/2021:09:16:50 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [25/Apr/2021:09:16:51 +0300] "POST /manager/ HTTP/1.0" 302 -
37.46.114.115 - - [25/Apr/2021:09:16:52 +0300] "POST /manager HTTP/1.0" 301 244
37.46.114.115 - - [25/Apr/2021:09:16:53 +0300] "POST /manager/ HTTP/1.0" 200 23429
37.46.114.115 - - [25/Apr/2021:09:28:47 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [25/Apr/2021:09:28:48 +0300] "POST /manager/ HTTP/1.0" 200 7670
37.46.114.115 - - [25/Apr/2021:09:35:50 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [25/Apr/2021:09:35:51 +0300] "POST /manager/ HTTP/1.0" 200 7670

И много много таких строк в промежутке времени между 25 апреля и 1 мая с разных ip адресов, ломящихся в директорию /manager/. В итоге сайт взломали. Это говорит о том что взломали с помощью брута?

Comments

[Иван Петров]

Кстати, что у вас в той директории, если не секрет?

Админка системы управления контентом "MODX" по этому адресу располагается. С 25 апреля по 1 мая долбились много много раз в эту директорию, судя по логам. Они еще чередовались обращениями к wp-config.php_blabla а этот файл вообще к MODX не относится, это файл от WordPress - может взломщик думал что до этого сайт был на WP и от него копия старого конфига могла остаться, в которой он хотел что то подсмотреть, или зачем?

37.46.114.115 - - [30/Apr/2021:14:51:46 +0300] "POST /manager/ HTTP/1.0" 200 7676
37.46.114.115 - - [30/Apr/2021:14:51:46 +0300] "POST /manager/ HTTP/1.0" 200 7676
37.46.114.115 - - [30/Apr/2021:14:51:46 +0300] "POST /manager/ HTTP/1.0" 200 7676
37.46.114.115 - - [30/Apr/2021:14:51:46 +0300] "POST /manager/ HTTP/1.0" 200 7676
37.46.114.115 - - [30/Apr/2021:14:51:46 +0300] "POST /manager/ HTTP/1.0" 200 7676
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.a HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php~ HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.old HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.bak HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.b HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-license.php?file=../..//wp-config HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.backup HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:19 +0300] "GET /wp-config.php.save HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:20 +0300] "GET /wp-config.php.2 HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:20 +0300] "GET /wp-config.php.8 HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:20 +0300] "GET /wp-config.php.1 HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:20 +0300] "GET /wp-config.php.5 HTTP/1.0" 404 5854
185.220.102.254 - - [30/Apr/2021:15:55:20 +0300] "GET /wp-config.php.7 HTTP/1.0" 404 5854

Еще заметил с первого апреля эти конфиги пытались найти, например wp-config.php.save и еще много вариантов перепробовали.

[Антон Тарасов]

переименуйте manager и connectors от греха подальше, а core можно вынести из Document_Root,
вот несколько полезных статей про защиту:
https://quasi-art.ru/library/it/important-steps-se...
https://web-revenue.ru/modx-revo/bezopasnost
https://habr.com/ru/post/335148/

[Иван Петров]

Антон Тарасов, спасибо за ответ и рекомендации. А что бы вы могли сказать по поводу вот этого участка лога:

37.46.114.115 - - [01/May/2021:11:16:33 +0300] "POST /manager/ HTTP/1.0" 200 7678
37.46.114.115 - - [01/May/2021:11:16:34 +0300] "POST /manager/ HTTP/1.0" 200 7678
37.46.114.115 - - [01/May/2021:11:27:45 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [01/May/2021:11:27:46 +0300] "POST /manager/ HTTP/1.0" 200 7678
37.46.114.115 - - [01/May/2021:11:34:56 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [01/May/2021:11:34:59 +0300] "POST /manager/ HTTP/1.0" 200 7678
185.128.26.216 - - [01/May/2021:11:37:45 +0300] "GET /manager/ HTTP/1.0" 200 1978
185.128.26.216 - - [01/May/2021:11:37:46 +0300] "GET /manager/templates/default/images/modx-logo-color.svg HTTP/1.0" 200 3567
185.128.26.216 - - [01/May/2021:11:37:46 +0300] "GET /manager/templates/default/fonts/fontawesome-webfont.woff2?v=4.7.0 HTTP/1.0" 200 77160
185.128.26.216 - - [01/May/2021:11:37:47 +0300] "GET /favicon.ico HTTP/1.0" 404 5987
185.128.26.216 - - [01/May/2021:11:37:50 +0300] "POST /manager/ HTTP/1.0" 302 20
185.128.26.216 - - [01/May/2021:11:37:51 +0300] "GET /manager HTTP/1.0" 301 200
185.128.26.216 - - [01/May/2021:11:37:51 +0300] "GET /manager/ HTTP/1.0" 200 6432
185.128.26.216 - - [01/May/2021:11:37:52 +0300] "GET /connectors/lang.js.php?ctx=mgr&topic=topmenu,file,resource,welcome,configcheck,ace:default&action= HTTP/1.0" 200 20487
185.128.26.216 - - [01/May/2021:11:37:52 +0300] "GET /connectors/modx.config.js.php?action=&wctx=mgr HTTP/1.0" 200 5257
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "GET /manager/templates/default/images/modx-icon-color.svg HTTP/1.0" 200 2012
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php HTTP/1.0" 200 1894
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php?action=element/getnodes&id=root HTTP/1.0" 200 1510
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php HTTP/1.0" 200 1580
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php HTTP/1.0" 200 757
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php HTTP/1.0" 200 164
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_type_chunk&type=chunk HTTP/1.0" 200 1605
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_type_template&type=template HTTP/1.0" 200 508
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_type_plugin&type=plugin HTTP/1.0" 200 1476
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_type_snippet&type=snippet HTTP/1.0" 200 2099
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_type_tv&type=tv HTTP/1.0" 200 2455
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_category&type=category HTTP/1.0" 200 663
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php?action=system/dashboard/widget/feed&feed=news HTTP/1.0" 200 22325
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php HTTP/1.0" 200 61
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_snippet_category_2&type=snippet HTTP/1.0" 200 7049
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_plugin_category_2&type=plugin HTTP/1.0" 200 1011
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_snippet_category_1&type=snippet HTTP/1.0" 200 3327
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php?action=element/getnodes&id=n_category_2&type=category HTTP/1.0" 200 7484
185.128.26.216 - - [01/May/2021:11:37:54 +0300] "POST /connectors/index.php HTTP/1.0" 200 224
185.128.26.216 - - [01/May/2021:11:37:55 +0300] "POST /connectors/index.php HTTP/1.0" 200 224
185.128.26.216 - - [01/May/2021:11:37:53 +0300] "POST /connectors/index.php?action=system/dashboard/widget/feed&feed=security HTTP/1.0" 200 8894
185.128.26.216 - - [01/May/2021:11:37:55 +0300] "POST /connectors/index.php HTTP/1.0" 200 61
185.128.26.216 - - [01/May/2021:11:37:55 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=/ HTTP/1.0" 200 44643
185.128.26.216 - - [01/May/2021:11:37:57 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=core/&type=dir HTTP/1.0" 200 20131
185.128.26.216 - - [01/May/2021:11:37:57 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=core/elements/&type=dir HTTP/1.0" 200 1609
185.128.26.216 - - [01/May/2021:11:37:58 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=core/elements/templates/&type=dir HTTP/1.0" 200 2961
185.128.26.216 - - [01/May/2021:11:37:58 +0300] "POST /connectors/index.php HTTP/1.0" 200 61
185.128.26.216 - - [01/May/2021:11:37:58 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=connectors/&type=dir HTTP/1.0" 200 7197
185.128.26.216 - - [01/May/2021:11:38:00 +0300] "POST /connectors/index.php HTTP/1.0" 200 61
185.128.26.216 - - [01/May/2021:11:38:00 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=connectors/system/&type=dir HTTP/1.0" 200 1451
185.128.26.216 - - [01/May/2021:11:38:01 +0300] "GET /manager/?a=system/file/edit&file=connectors/system/phpthumb.php&wctx=mgr&source=1 HTTP/1.0" 200 4894
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "GET /connectors/lang.js.php?ctx=mgr&topic=topmenu,file,resource,file,ace:default&action=system/file/edit HTTP/1.0" 200 17880
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "GET /connectors/modx.config.js.php?action=system/file/edit&wctx=mgr HTTP/1.0" 200 5257
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "POST /connectors/index.php HTTP/1.0" 200 1875
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "POST /connectors/index.php HTTP/1.0" 200 1580
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "POST /connectors/index.php HTTP/1.0" 200 224
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "POST /connectors/index.php HTTP/1.0" 200 224
185.128.26.216 - - [01/May/2021:11:38:02 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=/ HTTP/1.0" 200 44643
185.128.26.216 - - [01/May/2021:11:38:03 +0300] "POST /connectors/index.php?action=browser/directory/getList&id=connectors/&type=dir HTTP/1.0" 200 7197
185.128.26.216 - - [01/May/2021:11:38:04 +0300] "POST /connectors/index.php HTTP/1.0" 200 61
37.46.114.115 - - [01/May/2021:11:42:35 +0300] "GET /manager/ HTTP/1.0" 200 7386
37.46.114.115 - - [01/May/2021:11:42:37 +0300] "POST /manager/ HTTP/1.0" 200 7678
185.128.26.216 - - [01/May/2021:11:44:16 +0300] "POST /connectors/index.php HTTP/1.0" 200 169
185.128.26.216 - - [01/May/2021:11:44:16 +0300] "POST /connectors/index.php HTTP/1.0" 200 98
185.128.26.216 - - [01/May/2021:11:44:21 +0300] "GET /connectors/system/phpthumb.php HTTP/1.0" 200 98
185.128.26.216 - - [01/May/2021:11:44:24 +0300] "POST /connectors/system/phpthumb.php HTTP/1.0" 200 2994
185.128.26.216 - - [01/May/2021:11:44:33 +0300] "POST /connectors/system/phpthumb.php HTTP/1.0" 200 3060
185.128.26.216 - - [01/May/2021:11:44:40 +0300] "GET /system/form1.php HTTP/1.0" 404 5987

Тут в самом конце form1.php это шелл, а как его залили - хотелось бы понять. Забрутили пароль, или же в connectors дело и что это такое connectors?

[Dimonchik]

если пароль не простой - не забрутили

просто потестили разные уязыимости и одна сработала

[Антон Тарасов]

Иван Петров, какая версия MODX/компонентов - все должно быть актуальным, какое окружение -нет ли рядом чего-то дырявого типа Wordpress? Кто хостер.?! все это может быть причиной. Стирайте все шеллы, проверяйте пофайлово, сравнивая с оригинальной сборкой. Полезно ai-bolit запустить.Меняйте пароли. Часто эта зараза возвращалась. Восстанавливайте все оригинальные файлы, удаляйте все лишнее.

[Иван Петров]

Антон Тарасов, старая версия modx 2.7 что-то там была, восстановил из дампа и обновил. Пароль простой был, поэтому подозреваю что именно забрутили, но тем не менее из любопытства хочется больше понимания получить и научиться анализировать логи. Wordpress на том же хостинге стоял, но в другой директории на другом домене. Взломщик мог логи подчистить и даже отредактировать, что бы пустить по ложному пути? Вообще желательно на разные аккаунты хостинга все сайты перенести, чтобы в случае взлома одного сайта, остальные не зацепило?

[Антон Тарасов]

Иван Петров, ну судя по логам был какой-то перебор по адресам, что и зачем -неясно, ну если шелл - значит вероятно зачем-то нехорошим)) Сайт лучше обособить -да, отдельный аккаунт уместен.

[Дядька Серёжа]

Основная проблема в том, что ваша CMS доступна прямо из интернета, а не из внутренней сети по VPN, видимо и сама база там же на сервере. Ставьте WAF (mod security для nginx), Wazuh (там и комплаенс проверка и проверка уязвимостей и система обнаружения вторжений и EDR, и контроль целостности файлов), анализируйте логи. Все запускать под разными учетками и максимально зарезать права в системе.

[Иван Петров]

Дядька Серёжа,

Ставьте WAF (mod security для nginx), Wazuh (там и комплаенс проверка и проверка уязвимостей и система обнаружения вторжений и EDR, и контроль целостности файлов)

Только у меня обычный хостинг jino.ru и на сколько понимаю - с установкой конечно же ничего не получится, потому что хостинг это не собственный сервер, где можно свои учетки создавать и устанавливать что угодно.

[Антон Тарасов]

Иван Петров, по давнему опыту общения с jino.ru позвольте дать совет - бегите с него :) С ними такие настройки не обсудить, даже и на более шикарных тарифах. Но вопрос все же задайте, может у них в панели управления есть какие-то иструменты для защиты.

[Алексей Голягин]

Иван Петров, Желательно чтобы на хостинге была изоляция сайтов - вот и все - если такого нет лучше с него бежать) Хостинг джино - прям очень посредственный) Присмотритесь к бегету или подобным виртуальным хостингам где из коробки изоляция сайтов, айболит, автобэкапы и т.д.)