S-Owl

S(ecurity)Owl

トップ > honeypot > WOWHoneypotの簡易分析(31日目)

WOWHoneypotの簡易分析(31日目)

honeypot

WOWhoneypotの2018/07/04(水) (運用31日目)の簡易分析です。

6月のアクセスのまとめとか、第4回ハニポ技術交流会の話も書きたいのですが、時間が取れていないです…。

本日の総アクセス件数は245件です。以下が全アクセスログです。

41 2018-07-04 GET /manager/html
33 2018-07-04 GET /
4 2018-07-04 GET /xampp/phpmyadmin/index.php
4 2018-07-04 GET /www/phpMyAdmin/index.php
4 2018-07-04 GET /web/phpMyAdmin/index.php
4 2018-07-04 GET /typo3/phpmyadmin/index.php
4 2018-07-04 GET /tools/phpMyAdmin/index.php
4 2018-07-04 GET /pmd/index.php
4 2018-07-04 GET /pma-old/index.php
4 2018-07-04 GET /pmamy/index.php
4 2018-07-04 GET /pmamy2/index.php
4 2018-07-04 GET /PMA/index.php
4 2018-07-04 GET /pma/index.php
4 2018-07-04 GET /phpmyadmin/phpmyadmin/index.php
4 2018-07-04 GET /phpmyadmin-old/index.php
4 2018-07-04 GET /phpMyAdmin/index.php
4 2018-07-04 GET /phpmyadmin1/index.php
4 2018-07-04 GET /phpmyadmin0/index.php
4 2018-07-04 GET /mysqladmin/index.php
4 2018-07-04 GET /mysql-admin/index.php
4 2018-07-04 GET /myadmin/index.php
4 2018-07-04 GET /myadmin2/index.php
4 2018-07-04 GET /admin/mysql2/index.php
4 2018-07-04 GET /admin/index.php
3 2018-07-04 GET /phpMyAdmin/phpMyAdmin/index.php
3 2018-07-04 GET /phpMyAdmin.old/index.php
3 2018-07-04 GET /db/index.php
3 2018-07-04 GET /dbadmin/index.php
3 2018-07-04 GET /admin/pma/index.php
3 2018-07-04 GET /admin/phpmyadmin/index.php
2 2018-07-04 PROPFIND /
2 2018-07-04 POST /xx.php
2 2018-07-04 POST /xw.php
2 2018-07-04 POST /wuwu11.php
2 2018-07-04 POST /w.php
2 2018-07-04 POST /weixiao.php
2 2018-07-04 POST /wc.php
2 2018-07-04 POST /s.php
2 2018-07-04 POST /sheep.php
2 2018-07-04 POST /phpstudy.php
2 2018-07-04 POST /mx.php
2 2018-07-04 POST /feixiang.php
2 2018-07-04 POST /db_session.init.php
2 2018-07-04 POST /db.init.php
2 2018-07-04 POST /9678.php
2 2018-07-04 POST /7788.php
2 2018-07-04 HEAD /
2 2018-07-04 GET /webdav/
2 2018-07-04 GET /PMA2/index.php
2 2018-07-04 GET /phpMyAdminold/index.php
2 2018-07-04 GET /phpmyadmin/index.php
2 2018-07-04 GET /phpMyadmin_bak/index.php
2 2018-07-04 GET /phpmyadmin2/index.php
2 2018-07-04 GET /phpma/index.php
2 2018-07-04 GET /mysql/index.php
2 2018-07-04 GET /index.php
2 2018-07-04 GET /claroline/phpMyAdmin/index.php
2 2018-07-04 GET /admin/PMA/index.php
2 2018-07-04 GET /admin/phpMyAdmin/index.php
2 2018-07-04 GET /admin/phpmyadmin2/index.php
2 2018-07-04 GET /admin/mysql/index.php
1 2018-07-04 POST /qq.php
1 2018-07-04 GET /stuff.php
1 2018-07-04 GET /phpadmin/index.php

phpMyAdmin関連と/を除外したアクセス数です。既知のものは青字にします。

41 2018-07-04 GET /manager/html
2 2018-07-04 POST /xx.php
2 2018-07-04 POST /xw.php
2 2018-07-04 POST /wuwu11.php
2 2018-07-04 POST /w.php
2 2018-07-04 POST /wc.php
2 2018-07-04 POST /s.php
2 2018-07-04 POST /sheep.php
2 2018-07-04 POST /db_session.init.php
2 2018-07-04 POST /db.init.php
2 2018-07-04 POST /weixiao.php
2 2018-07-04 POST /phpstudy.php
2 2018-07-04 POST /mx.php
2 2018-07-04 POST /feixiang.php
2 2018-07-04 POST /9678.php
2 2018-07-04 POST /7788.php
2 2018-07-04 GET /webdav/
1 2018-07-04 POST /qq.php
1 2018-07-04 GET /stuff.php 

 phpファイルに対してPOSTしているものは、既知のものもそうでないものもボディ部は同じでした。最初の変数名はパスにより異なります。また、stringの後ろの数値は以前のものと数値が変わっているようです。

h=die('Hello, Peppa!'.(string)(123456789*9));

送信元IPは集約すると2IPからのようでした。その2つのIPでボディ部のコードに差はないように感じました。なお、その2IPからのアクセスは他にPhpMyAdminに対するスキャンが大量に来ていました。

 

本日のハンティングログはありませんでした。

以上です。