Qual era lo scopo di questa richiesta HTTP non valida che racconta una storia di capre nell'URI della richiesta?

70

Al momento eseguo un server Apache HTTP e ho impostato il monitoraggio per ricevere email ogni volta che viene visualizzato un errore nei log degli errori. Ho il solito tentativo di scoprire se sto usando HTTP 1.0 e sto provando a vedere se sto usando software off-the-shelf come WordPress che possono essere sfruttati.

Durante il fine settimana ho visto una nuova voce nei miei log degli errori e mi chiedevo cosa stava tentando di fare il potenziale exploit (Abcdef sta indovinando che gli sfruttatori gestiscono (ho cambiato)):

:[DATE] [error] [client XXX.XXX.XXX.XXX] Invalid URI in request HEAD towards the green fields outside. Watch the goats chewing the grass. What is the meaning of life? Life isn't about getting to the end. Goats know this. You should know too. Goats are wise. Goats are cute. Listen to them! This is the message. Love goats, love the Internet! \xf0\x9f\x90\x90 Abcdef. HTTP/1.0

Ora, a prescindere ovviamente dal parlarmi del loro amore per le capre, chiunque può determinare era lo scopo di questa richiesta. Ho provato a google parte della stringa .. e ho appena finito con i risultati sulle capre!

Suppongo che l'idea fosse quella di fornire un URI che causasse un overflow che avrebbe causato qualcosa con l'unicode alla fine, ma non sono sicuro.

Nota Ho fatto la presunzione gigantesca che la richiesta avesse mezzi nefasti dovuti ai caratteri alla fine della richiesta, quindi di postare in Sicurezza piuttosto che in Server Fault.

    
posta Crazy Dino 08.02.2016 - 14:02
fonte

3 risposte

54

Non so in cosa consistesse la parte REDACTED , ma posso dirti che i byte \xf0\x9f\x90\x90 corrispondono a un immagine di una capra in UTF-8 :

Eccolo:

risposta data 08.02.2016 - 14:18
fonte
34

Questo sembra simile alla poesia che è stata inviata al Chaos Communications Congress di Amburgo. In particolare, inizia a utilizzare l'HEAD come parte della poesia (nell'esempio seguente viene utilizzato DELETE per iniziare la riga).

link

    
risposta data 08.02.2016 - 17:03
fonte
4

Ho trovato la stessa richiesta nel mio access.log con questo URL:

link

What's this?

Being inspired by #masspoem4u, I try to repeat what they did: to distribute a unique HTTP request to all IPv4 addresses around the globe.

How did you do this?

I use a slightly modified version of Robert Graham's masscan, just like the masspoem4u guys did at CCC. However, I don't have such a fast network as theirs, so my scan will approximately take a week to go through. You can find an interesting article of masscan here.

Does it do any harm?

Of course not. It is totally harmless. The only thing you should perceive is the message in your HTTP log. Since one IP gets only one request, and the order of probes are randomized, it does not drain your resources and does not overload your network.

Non ho notato nient'altro inusuale tranne una richiesta da un altro indirizzo IP contenente altri byte UTF-8 ma potrebbe non essere correlato.

[XXX.XXX.XXX.XXX] - - [DATE] "\xad\x17\x15\xd2\xf0\xa2y\xec\xc9\xe6\xe2\xe2\xd1\"\xb1\"\x88\x82Ojo\xb8Q\xa0r\xd5\xfe\xe5E\x9a\x01\xfcf\x18\xff\x9d\x05\x1dh\xa1\xc61\xea;\x04F\x8b\xb1SgEhGk\x86&\x93b<O" 200 11899 "-" "-"

    
risposta data 15.02.2016 - 10:48
fonte

Leggi altre domande sui tag