shyandsy 发表于 2014-6-11 12:45:25

VPS被入侵了

查看了lnmp下网站访问日志，发现以下一些请求：


解析之后可以看到请求本来面目：
POST /cgi-bin/php.cgi?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d
open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0 -n


POST /cgi-bin/php5?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d
open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0 -n


POST /cgi-bin/php?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d
open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0 -n


POST /cgi-bin/php4?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d
open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0 -n


POST
/cgi-bin/php-cgi?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d
open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0 -n

运行环境php5.3.28

求破解方案
ps ： 问题和以下url描述的一样：
http://blog.spiderlabs.com/2013/11/honeypot-alert-more-php-cgi-scanning-apache-magikac.html

[ 本帖最后由 shyandsy 于 2014-6-11 13:30 编辑 ]

licess 发表于 2014-6-11 16:43:49

首先这是cgi脚本，lnmp下默认无法解析，再其次你目录下没有这个文件，请求了也没用都给返回404了

shyandsy 发表于 2014-6-11 23:40:45

ok 谢谢军哥 学习了
页: [1]
查看完整版本: VPS被入侵了