LogWatch가보고 한 가능한^null $ exploit은 무엇입니까?

LogWatch은 Linux 로그 파일에 대한 일일 보고서를 제공하는 유용한 도구입니다. 여기에는 트래픽, 로그인 한 사용자, sudo를 사용한 사람, 관련 커널 메시지, 서버를 탐색 한 IP 주소, 아파치를 탐색 한 검색 엔진 등과 같은 몇 가지 정보 요약이 포함되어 있습니다 ...

하나의 섹션에는 알려진 해킹 시도로 서버 해킹 시도. 그들은 반드시 성공하지는 못했지만 어쨌든 지식을 얻기 위해 보고서에 기록되었습니다. 이것이 그 모양입니다.

Attempts to use known hacks by 4 hosts were logged 4 time(s) from: 
    187.13.156.179: 1 Time(s) 
     ^null$ 1 Time(s) 
    187.60.121.62: 1 Time(s) 
     ^null$ 1 Time(s) 
    189.123.240.18: 1 Time(s) 
     ^null$ 1 Time(s) 
    189.70.214.124: 1 Time(s) 
     ^null$ 1 Time(s)

내 질문은 정확히 ^null$ 공격 무엇입니까? 나는 이것에 인터넷 검색을 시도했지만 관련성이없는 것으로 보인다.

출처

2013-04-06 JulioHM

아직 알지 못 했습니까? 나는 같은 문제를 겪고있다. 매일 200 회 이상의 시도가있는 임. 내가 logwatch를 설치 한 후에 이것을 알아 차렸다. 나는 또한 fail2ban을 설치했고 나의 ssh는 임의의 포트에도있다. 나는 이것이 어떤 종류의 공격인지는 알지 못한다. 제발 도와주세요 – Yashvit

아직. 나는 [자신의 도움말 포럼에 질문을 올렸습니다.] (http://sourceforge.net/projects/logwatch/forums/forum/1115929/topic/8164121), 아무도 응답하지 않았습니다. 아직 기다리고있어. – JulioHM

^는 라인의 시작을 의미하고 $는 정규 표현식에 대해 말하면 라인의 끝을 의미합니다. 아마도 이것은 공격자가 하나의 단일 null 문자를 보내고 있음을 의미합니다. 이 로그에 어떤 로그가 표시됩니까? 그것이 어떤 서비스를 촉발 시켰는 지 알려줍니까? – cogsmos

일반적으로 걱정할 필요가 없습니다. 실제 공격 일 필요는 없습니다. ^null$ "공격"은 단순히 HTTP 요청을 보내지 않고 종료하는 클라이언트 연결입니다 (즉, 웹 서버에 연결이 설정되었지만 요청이 수신되지 않음).

IP 당 하나의 IP 또는 여러 개의 ^null$ 항목을 여러 번 시도한 경우 일치 시도가있을 수 있습니다. 그랬듯이 위에서 제시 한 예제 로그는 무시해도 좋습니다.

출처

2013-05-17 07:38:55

그게 syn sweep일까요? netcat을 사용하여 쉽게 테스트 할 수 있습니다. nc -zvw5 hostname 80 – cogsmos

syn 스위프가 경고의 원인 일 수 있지만 설명 만은 아닙니다. 이것이 우려되는 경우보다 완벽한 기능의 침입 탐지 시스템을 설치하는 것이 좋습니다. 이것은 적절한 syn 스위프를 잡을뿐만 아니라 서버에 대해 취해진 후속 조치를 감지 할 수 있습니다. –

나는 내 호기심에 대해서 궁금해했다. 그렇다면 내가 제공 한 netcat 명령은 해당 로그 메시지를 출력합니다. – cogsmos

이 프로빙 Heartbleed가 LogWatch 그러한 경고로 변환하는 것을주의하는 것이 재미있다 :

Attempts to use known hacks by 1 hosts were logged 1 time(s) from: 54.82.203.167: 1 Time(s) ^null$ 1 Time(s)

해당 아파치 SSL 로그 항목은 다음과 같습니다

이

XXXXXX:443 54.82.203.167 - - [10/Apr/2014:00:19:45 +0200] "quit" 301 1313 "-" "-"

( http://filippo.io/Heartbleed/ 사용)

출처

2014-04-11 00:41:15 2072

몇 가지 유형의 모니 토 링 서비스는이 문제를 해결할 것입니다. uptimerobot.com 예를 들어 74.86.158.106 : 호스트 10 알려진 해킹을 사용

시도로부터 107 시간은 기록 된 91 회 ^ 널 $ 91 시간 (S)

"GET/HTTP/1.1"200 17896 "-" "Mozilla/5.0 + (호환 가능, UptimeRobot/2.0http://www.uptimerobot.com/)"

"GET/HTTP/1.1"00 : 09 : 54 -

74.86.158.106 - - [09/2/2015 : 01 : 10 : 47 -0500] "HEAD/HTTP/1.1"200 - "-" "Mozilla/5.0 + (호환 가능, UptimeRobot/2.0http://www.uptimerobot.com/)"

Cert 장애 조치 응용 프로그램의 유형에 따라 하트 비트 및 ldirectord (구성에 따라 다름)와 같은 설정이 가능합니다.

출처

2015-02-09 20:28:09

LogWatch가보고 한 가능한^null $ exploit은 무엇입니까?

답변

관련 문제