Falha anterior do servidor, o log do Apache2 Access mostra gobs de Control Characters e Gibberish, nada no log de erros

4

O servidor estava congelado, não respondia por cerca de um dia enquanto eu estava fora. Reinicialização corrigida.

O log de erros do Apache não mostra nada, mas a última coisa presente no log de acesso do apache, antes de eu reiniciar, era um monte de rabiscos que começavam com cerca de cem caracteres repetidos ^ @, então alguns KB de carga útil binária - coisas como "< 80 > < 86 > d > S & H; F ^ M2 ^ B > < 8c > & gi > < 90 >".

O que isso significa? O que devo fazer?

    
por ben 05.02.2012 / 19:22

2 respostas

1

^ 0 é apenas uma representação do ASCII 0 - se você usar man ascii , verá a coluna da direita alinhada com os valores da esquerda, uma maneira fácil de recuperar os caracteres de controle. Infelizmente, 0 é frequentemente usado para cargas de ataque de preenchimento nulo (supondo que você já descartou um problema no sistema de arquivos).

A coisa mais importante é o que foi a preposição desse lixo: foi uma URL de script, um recurso estático, um módulo etc.? Alguém está tentando explorar seu sistema ou fuzzing random systems procurando por exploits.

O fato de você ter uma falha significa que algo foi bem-sucedido - pelo menos em causar a falha. É um DoS, pelo menos, e muitas vezes uma falha (especialmente quando eles estão tentando sobrecarregar buffers como esse) pode levar a uma pilha de quebra e execução de código de exploração. Isso é ruim, mas não é certo que você foi explorado (como outros disseram, verifique se há rootkits). Se for um certo padrão de repetição, você pode usar uma correspondência de cadeia de caracteres iptables para evitar que ela chegue ao Apache, mas se o seu apache estiver atualizado, você deve relatar a exploração à segurança do Apache também.

    
por 17.10.2013 / 03:41
0

Parece algum tipo de exploração. Eu executei um rkhunter e chkrootkit scan imediatamente. Atualizar uma vez que você tem certeza de que não foi comprometido também é útil. Você pode analisar o tripwire ou o OSSEC para monitorar melhor a situação atual.

Dependendo da sua distribuição, o rkhunter e o chkrootkit devem estar nos seus repositórios.

Enquanto eu não sei o que ^ @ se traduz, se você ver isso muitos, cheira um pouco como um trenó nop.

    
por 24.04.2012 / 04:23

Tags