ハニーポット観察日記(2019/02/28)

WOWHoneypot

ハニーポット「WOWHoneypot」で2019/02/28 (木) 00:00~23:59 UTC(運用56日目)に取得したログの簡易分析です。

10日ぶりにThinkPHPの脆弱性を利用した攻撃を観測しました。

概況

• 集計期間 : 2019/02/28 (木) 00:00~23:59 UTC
• 総アクセス件数 : 32 件(前日比 +8 件)
  • トップページへのアクセス : 27 件
  • ThinkPHPの脆弱性を利用した攻撃(参照) : 2 件
  • ThinkPHPの探査 : 1 件
  • WebShellの探査 : 1 件
  • 不明 : 1 件
• ユニークIPアドレス件数 : 29 件 (前日比 +6 件)
• アクセス元の国数 : 13 カ国 (前日比 +-0 カ国)

国別のアクセス件数

国別のアクセス件数は以下の通りです。

順位	国名	件数	前日の順位	前日の件数	件数差	備考
1.	Brazil	8	1.	10	-2	-
2.	India	7	7.	1	+6	-
3.	Russia	4	-	0	+4	-
4.	Thailand	2	-	0	+2	-
5.	Argentina	2	-	0	+2	-
6.	United States	2	4.	1	+1	-
7.	Kazakhstan	1	-	0	+1	-
8.	Slovakia	1	-	0	+1	-
9.	St Kitts and Nevis	1	-	0	+1	-
10.	Australia	1	-	0	+1	-
11.	Tunisia	1	-	0	+1	-
12.	Nepal	1	8.	1	+-0	-
13.	Bangladesh	1	-	0	+1	-

アクセス先

• 2019/02/18以来、10日ぶりにThinkPHPの脆弱性を利用した攻撃を観測しました。

アクセス先一覧

アクセス先の一覧は以下の通りです。

順位	備考	アクセス先	件数	前日の順位	前日の件数	件数差
1.	トップページへのアクセス	GET / HTTP/1.1	26	1.	21	+5
2.	トップページへのアクセス	GET / HTTP/1.0	1	3.	1	+-0
3.	WebShellの探査	GET /acadmin.php HTTP/1.1	1	-	0	+1
4.	不明	GET hxxp://54[.]252[.]131[.]155/reply[.]php?q=(Base64でエンコードされた文字列) HTTP/1.1	1	-	0	+1
5.	ThinkPHPの探査	GET /TP/public/index.php HTTP/1.1	1	-	0	+1
6.	ThinkPHPの脆弱性を利用した攻撃(参照)	GET /TP/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1 HTTP/1.1	1	-	0	+1
7.	ThinkPHPの脆弱性を利用した攻撃(参照)	POST /TP/public/index.php?s=captcha HTTP/1.1	1	-	0	+1

WOWHoneypotで取得したログの簡易分析は以上です。