Hinterlässt die Shellshock-Sicherheitsanfälligkeit Spuren in Protokolldateien?

825
Tom Damon

Ich habe meine Server gepatcht, aber ich möchte auch meine Protokolle überprüfen, um zu sehen, ob Kompromisse eingegangen sind. Gibt es konsistente Spuren von Exploits, die diesen Fehler verwenden?

2
vielleicht, aber es gibt keine gemeinsame Signatur, da es sich um einen Code zur Ausführung von willkürlichem Code handelt. Der Angreifer kann beliebige schädliche Nutzdaten in die Umgebungsvariablen packen, die er vergiftet. Bessere Frage: Führen Sie CGI-Bin-Skripts aus? Andernfalls müssen Sie sich meistens über SSH authentifizieren, um sie auszunutzen. Überprüfen Sie daher Ihre Protokolle auf unerwartete SSH-Anmeldungen. Frank Thomas vor 9 Jahren 0

1 Antwort auf die Frage

2
Darren

Ich habe einige Treffer in den Protokollen gefunden mit:

grep -r '"()' /var/log/httpd/ grep -r "'()" /var/log/httpd/
Beachten Sie, dass sich die verwendeten Pfade je nach Server unterscheiden können. Beispielsweise verwendet * lighttpd * stattdessen `/ var / log / lighttpd /`. Mario vor 9 Jahren 1

Verwandte Probleme