Sourcefire ha rilevato un evento SERVER-IIS multiple extension code execution attempt e ha catturato un pacchetto. Originato da un IP cinese, AbuseIPDB ha diversi record sulla sua attività dannosa. Alcuni log includevano una stringa user-agent che menzionava Googlebot2.0, ma eseguendo una ricerca IP inversa, l'IP non si risolve in nulla, quindi suppongo che sia falsificato.
Ora la domanda è: questo exploit è visibile nel pacchetto (.asp + .jpg) o Sourcefire ha catturato solo uno dei tentativi di esecuzione? Qualcuno può spiegare l'anatomia di questo attacco?
pacchetto:
.PV..4.
I.....'#[email protected].!%.
.....P.**..l..P..<._..HEAD /Ac2.asp;.jpg HTTP/1.1
User-Agent: IE 10.0
Host: www.*****.com