-4

運営しているWebサイトに「/if(now()=sysdate(),sleep(15),0)」からのアクセスがあったのですが、対策は必要ですか?
「/if(now()=sysdate(),sleep(15),0)」からの攻撃? が成功している場合には、どうなるのですか?

アクセスがあったURL
https://example.com/if(now()=sysdate(),sleep(15),0)
※example.comはダミーですJ

実際にアクセスしてみると、
https://example.com/
のページが表示されます。

2
  • 1
    「~からのアクセス」は通常「アクセス元」を指すかと思いますが、ログに残っていたのは「~に対してのアクセス」の間違いではありませんか?いずれにせよ提示されている情報だけでは第三者は判断が難しいように感じます。SQL インジェクションを試すアクセスのようにも見えますが… 参考 cysec148.hatenablog.com/entry/2022/07/02/130028
    – cubick
    Commented 8月7日 11:38
  • 2
    ログに「/if(now()...」と言う文字列があったので、そこ からアクセスがあったと判断したようですが、その解釈自体が大きく間違っている可能性があります。正確な判断が欲しいのであれば、あなたが、攻撃だと思っているアクセスのログを何も変更せずに載せてください。また、何のログであるかも明記してください。
    – raccy
    Commented 8月7日 13:38

1 件の回答 1

1

質問者にログを出す気がないようなので、一般的な話をします。

自分のサイトにどのようなアクセスがあるのか、それが攻撃なのかどうかを判断するには、アクセスログを正しく見る知識が必要です。具体例を上げながら見てみましょう。

52.230.152.48 - - [15/Aug/2024:08:30:10 +0900] "GET /robots.txt HTTP/1.1" 404 196 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +https://openai.com/gptbot)"

これは私のサイトの生ログです。Apache HTTP Serverのデフォルトであるcombinedフォーマットになっており、通常は次のように定義されています。(Apache HTTP Serverのログフォーマットは細かくカスタマイズ可能なため、同じApache HTTP Serverでも下記とは異なる場合があります。)

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

ここを参考に各項目が何を意味するのかを書いてきます。

  1. %h アクセス元。サイトにアクセしてきたクライアントのホスト名になるが、逆引きが無効、または、逆引きが失敗した場合は、ホスト名では無くIPアドレスになる。
  2. %l identを使用したときのリモート名。通中はidentを使わないため、常に「-」になる。
  3. %u 認証をしたときユーザー名。BASIC認証などでApache HTTP Server上で認証したユーザーのみ表示できる。CGI/PHPが独自に認証したユーザーはApache HTTP Serverにはわからないため表示されない。
  4. %t アクセスした時の日時。
  5. %r HTTPプロトコルの最初の行。通常は"メソッド パスとクエリ HTTP/バージョン"になる。つまり、ここから、アクセスのメソッド(GET、POST等)、パスとクエリ(/パス?クエリ)、HTTPプロトコルのバージョンがわかる。
  6. %>s 返したステータス。内部でリダイレクトした場合は、最後のステータスになる。
  7. %b 返したバイト数。
  8. %{Referer}i リクエストのリファラー。
  9. %{User-Agent}i リクエストのユーザーエージェント。

これらから、先程ログを分析すると「"Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +https://openai.com/gptbot)"のユーザーエージェントを名乗る52.230.152.48から2024年8月15日8時30分10秒(日本時間)にHTTP/1.1のプロトコルで/robots.txtへGETのリクエストが送られ、404のステータスと共に196バイト返した。」となります。

さて、これが攻撃なのか、対応が必要なのかを判断するのですが、その判断基準は「想定通りのレスポンスを返しているか?」です。今回のアクセスは/robots.txtに対するGETでした。このサイトにはrobots.txtを置いていないので、404 Not Foundを返すのが正しい動作の筈です。ログでは404のステータスコードを返していましたので、想定通りのレスポンスを返したと言えます。よって、特に何もする必要はありません。

これが、404以外だったらどうなるでしょうか?例えば500であれば、何か想定外のCGI/PHPが動作している可能性があります。存在しないはずなのに200を返すのもおかしいことです。サイトの設定によりますが、アクセスを想定していないパスへのアクセスというのは、コンテンツが存在しない(404)、アクセスそのものを許可していない(403)、トップなどに戻す(301や302)等になります。それら以外であれば、想定外の動作が起きた可能性があります。

それらのパスへのアクセスが200や500だったとき、どのような動作を起こすのか問うことは、サイト上に置かれたプログラムを解析するしかありません。開発環境で同じようアクセスをしてみて、デバッグするしか無いでしょう。解析の結果、任意実行や情報漏洩につながる可能性があれば、早急に対応が必要です。そういった危険性はない場合でも、想定外の動作なんで、いつかは修正すべきです。

なお、インターネットにサイトを公開している場合、特定のCGI/PHPでの既知の脆弱性を突いた攻撃は大量に来ます。それら一つ一つが自分のサイトを狙ったモノで、攻撃が成功しているか調べることは時間がかかりすぎるため、現実的ではありません。そのため、AIを用いたログ分析で、怪しいログだけ抽出し、警告してくれるという製品もあるようです。


以上になりますが、「『/if(now()=sysdate(),sleep(15),0)』からの攻撃」といわれても、具体的にログを見ないと、それがどういう意味を表すのかがわかりません。ましてや、それが想定した通りのレスポンスを返しているかどうかは、サイトを置いた本人以外はわかりません。よって、必要かどうかは何も分からないとしか言いようがありません。

1
  • アクセスのログ元は、PHPで作成されたどこからアクセスがあったか、というコードです。
    – re9
    Commented 9月2日 11:13

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。