Encontré lo que parece ser un posible intento de ataque Shellshock dirigido a tmUnblock.cgi , y estoy tratando de entenderlo.
Estuve revisando los registros de acceso de Apache en busca de un pequeño servidor web durante el período entre el fallo de Shellshock y el servidor que se está parchando, buscando entradas sospechosas .
Obtiene poco tráfico, por lo que es posible para mí leer todo el registro de acceso y detectar entradas inusuales. Estos son, en su mayoría, exploraciones de "sombrero blanco" como Escaneo de Shellshock de Seguridad de erratas " de Internet ", con los intentos de Shellshock visibles en la entrada del registro a través de estar presente en el agente de usuario.
Uno, sin embargo, parece que podría ser un intento de ataque más serio:
72.229.125.183 - - [26/Sep/2014:18:16:48 -0400] "GET /" 400 464 "-" "-"
72.229.125.183 - - [26/Sep/2014:18:16:48 -0400] "GET /tmUnblock.cgi HTTP/1.1" 400 303 "-" "-"
Hay alrededor de 4 de estos en mis registros, todos de diferentes direcciones IP, todos desde la publicación de Shellshock. Todos sus IP provienen de fuentes extrañas no relacionadas que parecen plausibles para los bots.
El primero parece ser un escaneo (¿prueba de vulnerabilidad?), luego hay un intento de apuntar a un script cgi. A diferencia de White Hat, como el análisis de seguridad de Erratta, no hay nada que revele su propósito en el agente de usuario (según tengo entendido que los ataques Shellshock "serios" usarán encabezados que no están registrados).
Nunca he oído hablar de tmUnblock.cgi y no parece que exista en mi servidor, así que la mayoría lo pregunto por curiosidad (¡espero!). ¿Qué es tmUnblock.cgi y es algo que podría ser atacado con un ataque de shell shock?
Mis propios intentos de investigar tmUnblock.cgi terminaron en confusión. Parece asociado a un error explotable en los enrutadores de Linksys descubierto en febrero de 2014 , que parece estar relacionado con la ejecución de comandos de shell y parece haberse utilizado para propagar gusanos en el pasado , pero eso es todo lo que puedo encontrar.