Попытка взлома, что они пытались сделать и как я могу проверить, удалось ли им?
Я недавно задал этот вопрос: Попытка использовать?
Но когда я проверил журналы еще немного, я обнаружил, что они занимаются еще чем-то, и я почувствовал, что потребуется новый вопрос, чтобы охватить их все.
Прежде всего, в моем журнале есть несколько тысяч журналов с сегодняшнего дня. Должно быть, было несколько тысяч запросов в минуту.
Вопрос 1: зарегистрированным IP-адресом был IP-адрес нашего хоста. Как они могли подделать это или попытка взлома пришла из их сети через зараженный компьютер?
Вопрос 2: у меня зафиксирована ошибка:
Информация о состоянии недопустима для этой страницы и может быть повреждена.
Зарегистрированный путь для этого был:
OurURL/?ctl00$ctl00$ctrlheadermenu$ctrlsearchbox$btnsearch=sã¶k&ctl00$ctl00$cp
Кроме того, я нашел это в трассировке стека:
Входные данные не являются допустимой строкой Base-64, поскольку они содержат неосновной 64-символ, более двух символов заполнения или непустой пробел среди символов заполнения.
Что они пытались сделать с этим?
Вопрос 3: Я также нашел запрос на этой странице. Где они пытаются перечислить наш контент?
OurURL/nessus=<!--#exec cmd="dir"-->
Вопрос 4: Был также запрос к thirl, который я обнаружил как попытку SQL-инъекции. Есть ли способ проверить, что они сделали? И что бы он сделал, если бы это было успешно?
OurURL/webresource.axd?'%2bconvert(varchar%2c0x7b5d)%2b'=1
Вероятно, существует несколько тысяч зарегистрированных и найденных URL-адресов, которых не было, но я не могу перечислить их все здесь.
1 ответ
Ответ 1: IP-адреса могут быть подделаны, хотя также возможно, что зараженный внутренний компьютер делает это.
Ответ 2: Кажется, что если это атака, злоумышленник пытался найти уязвимости в вашем декодере base64.
Ответ 3: Да, они пытались получить список каталогов с dir команда.
Ответ 4: convert(varchar,0x7b5d) возвращается 0x7b5d приведение к типу varchar, Без какого-либо контекста это ничего не делает.