ozumaの日記： Apache Magica攻撃もルーマニアっぽいですよ

徳丸せんせーのところで紹介されていたCGI版PHPへのアタックが、うちのさくらのVPSのApacheにも来ていたのでちょっとまとめてみた。
＊CGI版PHPへのApache Magica攻撃の観察

自分で言うのもアレですが、まだこれ追っている人はほとんどいないようなのでそれなりに役立つ文書かなと。
しかしC&Cサーバの観察もやってみたいのですが、色々とブラックな部分が強すぎてなかなか近寄れませんね。とりあえず今回はFQDNが分かったので、takedownにそなえて定期的にIPアドレスが変わっているらしい? というのを調べておくか。

ちなみに最近はずっとセキュリティエンジニアっぽい活動していますが、なかなか道が開けません。行き詰まり感あるなー。
実はどうしても行きたい会社があってちょっと活動していましたが、残念ながら上手くいきませんでした。でもめげずに頑張ります。

こんなのあるんだ

[Anonymous Coward]

うちはPHP/5.5.5だけど、どうなるのかなと思って、わざわざCGI版作ってエンコードされたURL打ってみたら、/cgi-bin/phpが無かったので不発。
わざわざ/cgi-bin作ってリンク張ったのにどうして？と思ったらphp呼んでるのね。
php-cgiに変えても良かったけど、php-cgiからphpにリンク貼り替えてもう一度トライしたら、ログにこんなん吐かれた。

%response
<b>Security Alert!</b> The PHP CGI cannot be accessed directly.
%stdout
 
<p>This PHP CGI binary was compiled with force-cgi-redirect enabled.  This
means that a page will only be served up if the REDIRECT_STATUS CGI variable is
set, e.g. via an Apache Action directive.</p>
<p>For more information as to <i>why</i> this behaviour exists, see the <a href="http://php.net/security.cgi-bin">manual page for CGI security</a>.</p>
<p>For more information about changing this behaviour or re-enabling this webserver,
consult the installation file that came with this distribution, or visit
<a href="http://php.net/install.windows">the manual page</a>.</p>

Tiny Tiny RSSのupdate.phpの更新作業の為に、CLI版phpを作って使っていたけど微妙だな。
ttrssはmod_phpだし、update.phpもCGI版じゃなくCLI版使ってるわけで、今回の件とは直接関係ないけど怖くなった。
phpも相変わらず脆弱性の塊なんだな。

Re:こんなのあるんだ

[ozuma (5119)]

今まで見つかっていた脆弱性は、「任意のPHPスクリプトに攻撃が可能」だったので、PHPスクリプトをひとつも置いてないサーバなら脆弱性が放置されててもセーフだったのですが。
今回は/cgi-bin/phpに直接攻撃できるので、攻撃者もわざわざphpスクリプトを探す必要が無くて便利なためか(?)、結構あちこち事前スキャンが始まってるみたいです。

CLI版なら、今回の脆弱性の根幹である「GET引数のパラメタがそのままPHPパラメタに渡ってしまう」が無いので大丈夫なはずですが、今後の研究に期待(?)ですね。お気を付けてー