攻撃者ãŒæŽ¡ç”¨ã—ãŸã€Œ.htaccessã€ã‚’改ã–ã‚“ã—ã¦ã€ä»»æ„ã®æ‹¡å¼µåã§PHPを実行ã™ã‚‹æ–¹æ³•ã¿ãªã•ã‚“ã€ã“ã‚“ã«ã¡ã¯ã€‚m（@the_art_of_nerd）ã§ã™ã€‚ 今回ã¯ç§ãŒWebサーãƒãƒ¼ã‚’フォレンジック調査を担当ã—ãŸéš›ã«ç™ºè¦‹ã—ãŸã€ä»»æ„ã®æ‹¡å¼µåã‹ã‚‰PHPを実行ã™ã‚‹æ–¹æ³•ã«ã¤ã„ã¦ç´¹ä»‹ã—ã¾ã™ã€‚ 背景 Webサーãƒãƒ¼ãŒæ”»æ’ƒè€…ã«ã‚ˆã£ã¦ä¾µå®³ã•ã‚ŒãŸã¨ã„ã†äº‹æ¡ˆã§ã€ãƒ•ã‚©ãƒ¬ãƒ³ã‚¸ãƒƒã‚¯èª¿æŸ»ã‚’実施ã—ãŸéš›ã«ç™ºè¦‹ã—ãŸãƒ†ã‚¯ãƒ‹ãƒƒã‚¯ã§ã™ã€‚（æ£è¦ã®ä»•æ§˜ã‚’悪用） Webサーãƒãƒ¼ã®ä¾µå®³ã®ãŸã‚ã€WebShellã®è¨ç½®ã‚’ç–‘ã„ã€ã¾ãšæ‹¡å¼µåベースã§ä¸å¯©ãªãƒ•ã‚¡ã‚¤ãƒ«ï¼ˆæ”¹ã–ん・作æˆï¼‰ãŒå˜åœ¨ã—ãªã„ã‹èª¿æŸ»ã—ã¦ã„ãŸã¨ã“ã‚ã€ã„ãã¤ã‹ä¸å¯©ãªãƒ•ã‚¡ã‚¤ãƒ«ã¯ç™ºè¦‹ã•ã‚Œã¾ã—ãŸãŒã€ã©ã†ã—ã¦ã‚‚WebShellã®ã‚ˆã†ãªæ©Ÿèƒ½ã‚’有ã™ã‚‹ãƒ•ã‚¡ã‚¤ãƒ«ã ã‘見ã¤ã‹ã‚Šã¾ã›ã‚“ã§ã—ãŸã€‚ ãã“ã§ã€æ‹¡å¼µåã§è¦‹ã¦ã„ã調査ã‹ã‚‰å„ディレクトリã”ã¨ã«æ°—ã«ãªã‚‹ãƒ•ã‚¡ã‚¤ãƒ«ãŒå˜åœ¨ã—ãªã„ã‹ã®èª¿æŸ»ã«åˆ‡ã‚Šæ›¿ãˆãŸã¨ã“ã‚ã€1ã¤ã ã‘明らã‹ã«Webサーãƒãƒ¼ã®ã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã¨ã—ã¦é•å’Œæ„Ÿã®ã‚ã‚‹"ファイルå"ãŒä»˜ã‘られãŸCSSファ
æ›´æ–°ã•ã‚ŒãŸã°ã‹ã‚Šã®ã€ŒApache HTTP Serverã€ã«è„†å¼±æ€§ ～v2.4.61ãŒãƒªãƒªãƒ¼ã‚¹ï¼ã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã®ã‚½ãƒ¼ã‚¹ã‚³ãƒ¼ãƒ‰ãŒçªƒå–ã•ã‚Œã‚‹æã‚Œã€æ·±åˆ»åº¦ã¯ã€ŒImportantã€
JVNVU#98698305: Apache Tomcatã«ãŠã‘ã‚‹æƒ…å ±æ¼ãˆã„ã®è„†å¼±æ€§
JVNVU#96910606: Apache Struts 2ã«ãŠã„ã¦ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã•ã‚Œã‚‹è„†å¼±æ€§ï¼ˆS2-062）
[2022-03-31 10:00 PDTæ›´æ–°] è„…å¨ã«é–¢ã™ã‚‹æƒ…å ±: Apache Log4jã«æ–°ãŸãªè„†å¼±æ€§(CVE-2021-44228) 実際ã®æ‚ªç”¨ã‚‚確èª![[2022-03-31 10:00 PDTæ›´æ–°] è„…å¨ã«é–¢ã™ã‚‹æƒ…å ±: Apache Log4jã«æ–°ãŸãªè„†å¼±æ€§(CVE-2021-44228) 実際ã®æ‚ªç”¨ã‚‚確èª](https://cdn-ak-scissors.b.st-hatena.com/image/square/1a2b7b2619f16b9f2c94d1a4a72203b7fd1baa37/height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.jp%2Fwp-content%2Fuploads%2F2022%2F12%2FUnit42-blog-2by1-characters-r4d1-2020_Vulnerability-yellow.png)
Log4jã®æ·±åˆ»ãªè„†å¼±æ€§CVE-2021-44228ã«ã¤ã„ã¦ã¾ã¨ã‚ã¦ã¿ãŸ - piyolog
「やã°ã™ãŽã‚‹ã€ã€€Javaライブラリ「Log4jã€ã«ã‚¼ãƒãƒ‡ã‚¤è„†å¼±æ€§ã€ä»»æ„ã®ãƒªãƒ¢ãƒ¼ãƒˆã‚³ãƒ¼ãƒ‰ã‚’実行å¯èƒ½ã€€iCloudã‚„Steamã€Minecraftãªã©åºƒç¯„囲ã®Java製å“ã«å½±éŸ¿ã‹
Apache HTTP サーãƒã«å˜åœ¨ã™ã‚‹è„†å¼±æ€§ã€ŒOptionsBleedã€
日経曰ã「官公åºãªã©ã‚µã‚¤ãƒãƒ¼æ”»æ’ƒã®æã‚Œã€ã¨ã„ã†æ·±åˆ»ãªäº‹æ…‹ãŒç™ºç”Ÿä¸ï¼ˆè¿½è¨˜ã‚り）(山本一郎) - 個人 - Yahoo!ニュース
https://jp.techcrunch.com/2010/12/22/20101221hackers-embed-spam-into-google-search-listings-for-unsuspecting-sites/
韓国ã‹ã‚‰ã®ç•°å¸¸ãªã‚¢ã‚¯ã‚»ã‚¹ã‚’æ‹’å¦ã™ã‚‹æ–¹æ³•
{{#tags}}- {{label}}
{{/tags}}