Strane richieste al web server

Sembra che il tuo server sia l'obiettivo di un attacco automatico che coinvolge il Scanner ZmEu .

La prima richiesta sembra provenire da un altro attacco automatico che coinvolge lo Morfeus Scanner .

L'ultima richiesta sembra essere un tentativo di sfruttare le vulnerabilità nelle implementazioni HNAP (Home Network Administration Protocol) dei router D-Link. Maggiori informazioni sull'attacco possono essere trovate qui .

Da uno sguardo cusorio alla richiesta che sta facendo, direi che non hai nulla di cui preoccuparti se non stai eseguendo phpmyadmin sui tuoi sistemi. Tali attacchi sono all'ordine del giorno per i server connessi a Internet e le scansioni ottengono 404 indicando che il server non ha quello che stanno cercando.

Ogni server connesso a Internet riceverà centinaia di "strane richieste". La maggior parte proviene da botnet automatiche che cercano di replicare, trovando macchine che presentano una vulnerabilità specifica. Provano gli indirizzi IP casuali (ci sono solo quattro miliardi di possibili indirizzi IP, dopotutto). Quindi si , qualcuno sta cercando di entrare nel tuo server, ma quel "qualcuno" è un automa insensato che non ha nulla contro tu , in particolare.

Direi che se trovi le voci del registro, allora l'attacco non ha funzionato così non devi preoccuparti di loro. Quando l'attacco ha successo, la prima cosa che fa l'attaccante è rimuovere le sue tracce dai file di registro.

Questo evidenzia la massima necessità di installare fix di sicurezza, perché ogni server online è, per costruzione, esposto e sarà preso di mira da tali attacchi casuali ad un certo punto.

se vuoi bloccare gli scanner conosciuti potresti voler usare WAF nginx naxsi + doxi-rules ; questi scanner sono ampiamente conosciuti

Secondo l'ultimo rapporto, la vulnerabilità è in ZynOS ed è un problema per gli utenti del router da D-Link, TP-Link, ZTE e altri produttori che consentono hacker remoti nella modifica delle impostazioni DNS e dirotta il traffico dell'utente. Questa vulnerabilità ha una funzione "backdoor-type" "incorporata" nel router che suggerisce un'implementazione deliberata.

1. L'input dello strumento "ping" che D-Link DIR636L filtra in modo errato consente l'iniezione dei comandi arbitrari nel router
2. Abilita l'utente malintenzionato remoto a ottenere il pieno controllo del router, ad esempio che attacca la rete in caso di attacco stile DDoS o persino l'esposizione dei computer dietro i dispositivi a Internet che modifica le regole firewall / NAT sui router