对 Web 服务器的奇怪请求

信息安全 网络服务器 nginx
2021-08-11 11:38:59

我有一个运行 Nginx 的 Linode VPS，它目前只提供静态内容。

有一次我查看日志并注意到一些奇怪的请求：

XXX.193.171.202 - - [07/Aug/2013:14:04:36 +0400] "GET /user/soapCaller.bs HTTP/1.1" 404 142 "-" "Morfeus Fucking Scanner"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /phpmyadmin/scripts/setup.php HTTP/1.1" 404 142 "-" "ZmEu"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /w00tw00t.at.blackhats.romanian.anti-sec:) HTTP/1.1" 404 142 "-" "ZmEu"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /myadmin/scripts/setup.php HTTP/1.1" 404 142 "-" "ZmEu"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /phpMyAdmin/scripts/setup.php HTTP/1.1" 404 142 "-" "ZmEu"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /pma/scripts/setup.php HTTP/1.1" 404 142 "-" "ZmEu"
XXX.125.148.79 - - [07/Aug/2013:20:53:35 +0400] "GET /MyAdmin/scripts/setup.php HTTP/1.1" 404 142 "-" "ZmEu"
XXX.221.207.157 - - [07/Aug/2013:22:04:20 +0400] "\x80w\x01\x03\x01\x00N\x00\x00\x00 \x00\x009\x00\x008\x00\x005\x00\x00\x16\x00\x00\x13\x00\x00" 400 172 "-" "-"
XXX.221.207.157 - admin [07/Aug/2013:22:04:21 +0400] "GET /HNAP1/ HTTP/1.1" 404 142 "http://212.71.249.8/" "Mozilla/5.0 (Macintosh; U; PPC Mac OS X; en-us) AppleWebKit/xxx.x (KHTML like Gecko) Safari/12x.x"

在这种情况下，我应该担心有人试图破解我的服务器吗？

4个回答

您的服务器似乎是涉及ZmEu 扫描程序的自动攻击的目标。

第一个请求似乎来自另一个涉及Morfeus Scanner的自动攻击。

最后一个请求似乎是试图利用 D-Link 路由器的家庭网络管理协议 (HNAP) 实现中的漏洞。可以在此处找到有关该攻击的更多信息。

从它发出的请求的粗略一瞥，我会说如果您没有在系统上运行 phpmyadmin，您无需担心。此类攻击对于连接到 Internet 的服务器来说是司空见惯的，并且扫描得到 404 表明您的服务器没有他们正在寻找的内容。

每台连接到 Internet 的服务器都会收到数百个“奇怪的请求”。它们中的大多数来自自动僵尸网络，它们试图通过寻找具有特定漏洞的机器进行复制。他们尝试随机 IP 地址（毕竟只有 40 亿个可能的 IP 地址）。所以是的，有人试图进入你的服务器，但那个“某人”是一个没有头脑的自动机，对你没有任何抵抗，特别是。

我想说，如果你找到了日志条目，那么攻击就没有成功，所以你不必担心它们。当攻击成功时，攻击者做的第一件事就是从日志文件中删除其踪迹。

这确实突出了安装安全修复程序的最大必要性，因为每个在线服务器在构造上都是暴露的，并且在某些时候将成为此类随机攻击的目标。

如果你想阻止已知的扫描器，你可能想使用基于 nginx 的 WAF naxsi + doxi-rules；这些扫描仪广为人知

doxi + naxsi 在行动

根据最新报告，该漏洞存在于 ZynOS 中，给 D-Link、TP-Link、中兴通讯和其他制造商的路由器用户带来麻烦，允许远程黑客更改 DNS 设置并劫持用户流量。此漏洞在路由器中“内置”了一个“后门类型”功能，建议有意实施。

  1. D-Link DIR636L 错误过滤的“ping”工具的输入允许将任意命令注入路由器
  2. 这使得远程攻击者能够获得对路由器的完全控制，例如以 DDoS 风格的攻击攻击网络，甚至将设备后面的计算机暴露在互联网上，从而改变路由器上的防火墙/NAT 规则
其它你可能感兴趣的问题
上一篇为什么将内部系统连接到 Internet 会很糟糕？ 下一篇使用 MD5 验证小文件（小于 15kb）的完整性是否安全？