security - 看似恶意的用户代理后服务器崩溃

Question

我正在使用 Plesk Onyx 运行 Ubuntu。这带有 nginx 作为代理，而 Apache 带有不同的 PHP 选项。

我醒来发现服务器上托管的网站正在返回 502 Bad Gateway。

查看日志，其中一个网站有一个非常奇怪的用户代理和推荐人:

() { :;}; echo; echo \x22f5d463ef8e86a21c440eccc11b308080\x22

该问题通过重新启动服务器自行解决，但在此期间网站仍处于关闭状态。

似乎是一个非常危险的利用。我正在寻找在任何级别(在 Plesk、NGINX、防火墙或其他方法)上防止这种情况的想法。谢谢你。

Answer 1

您的服务器已被扫描 "Shellshock" (CVE-2014-6271) vulnerability .

您可以尝试使用任何 Web 应用程序防火墙 (WAF) 来缓解这种情况，例如 mod_security。
您也可以尝试一些在线扫描仪来检查您的系统或verify it locally .

但是很奇怪，由于某些 header 请求而导致 apache 关闭，这可能是性能问题。

强烈建议应用所有系统和安全更新，并始终保持系统最新。