狠狠撸

狠狠撸Share a Scribd company logo

サーバ攻撃されてみた

?
?
K
Kimie Furuya

ハニーポットという言葉も知らないで攻撃を待ち受けるサーバを立てたときの話をスライドにしました。 「言葉も知らないで」の言葉通り、ログを見る程度のことしかしてないです。 アップロードテストも兼ねています。

1 of 12
Download to read offline
サーバ攻撃されてみた @kimikimi714
アクセスログ 見てますか？
普段の業務で ? アクセス数多いので、量を絞ってる ? アクセス数だけ見たいなら管理ツール ? アパッチログも出てるけど、ちゃんと目的がな いと見ちゃダメという決まりがある ? 生ログ見れないわけではないが、grepしんどい
あんまり见てない…
単純にサーバ立てて 単純にログ出したら 何が出てくるのか
自分で立ててみた
環境 ? さくらのVPS(プランは忘れた) ? CentOS 6.6 ? nginxでサーバ立てた ? PHPやMySQLは入れてない ? 静的ファイル置いただけ ? iptablesは自力で書いてなんとかする ? 対策漏れてるかもしれないが気にしない 期間 ? 2015年7月14日から7月28日まで 結果 ? 最終的なアクセスログの行数は 1856 ? 特に制限してないので、行数 アクセス数
実际にログを见てみる
やっぱり攻撃しに来てた アクセスログを適当な文字列でgrepしてみた様子 phpmyadmin/sqlとかのディレクトリ名でアクセスしてくる のもあったため、いくらか重複している とはいえ明らかにphpmyadminをいじろうとしてる $ cat access.log* | grep phpmy | wc -l 26 $ cat access.log* | grep pma | wc -l 24 $ cat access.log* | grep setup | wc -l 48 $ cat access.log* | grep sql | wc -l 34
どうしてもいじりたかった人 特定IPからのアクセスだけで619行あった。 そのアクセス全部myadminとかsqlとか 64.26.137.34 - - [20/Jul/2015:23:41:28 +0900] "HEAD http://x.x.x.x:80/1phpmyadmin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:28 +0900] "HEAD http://x.x.x.x:80/2phpmyadmin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:29 +0900] "HEAD http://x.x.x.x:80/3phpmyadmin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:29 +0900] "HEAD http://x.x.x.x:80/4phpmyadmin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:29 +0900] "HEAD http://x.x.x.x:80/MyAdmin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA2011/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA2012/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA2013/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA2014/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:30 +0900] "HEAD http://x.x.x.x:80/PMA2015/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:31 +0900] "HEAD http://x.x.x.x:80/admin/ HTTP/1.1" 404 64.26.137.34 - - [20/Jul/2015:23:41:31 +0900] "HEAD http://x.x.x.x:80/admin/db/ HTTP/1.1" 404
その他の怪しいアクセス Diagnostics.asp?fhiuewhkjdsn login.action?login.do muieblackcat?nowherereally Ringing.at.your.dorbell! testproxy.php?tmUnblock.cgi
まとめ ? ノリでサーバ立てたら、いろんな人から攻撃された ? アクセスログをちゃんと見る機会が意外とないので、 いい勉強にはなった ? 攻撃されてるのに一周回って「ようこそ！」という 気持ちになってくる(ただし業務では嫌 ? 自分のセキュリティに関する知識と意識が浅すぎる ので、身を守る術をもっと身につけていく(自戒

More Related Content

サーバ攻撃されてみた