来自 IP 127.0.0.1 的黑客尝试 - 是不是有需要注意的漏洞？

Posted 2023-02-19

【中文标题】来自 IP 127.0.0.1 的黑客尝试 - 是不是有需要注意的漏洞？

【英文标题】：hack attempts from IP 127.0.0.1 - is there an exploit to be aware of?来自 IP 127.0.0.1 的黑客尝试 - 是否有需要注意的漏洞？

【发布时间】：2015-10-01 06:21:03

【问题描述】：

我注意到 Tomcat 的 local_access_log 中有许多条目来自 IP 地址 127.0.0.1 的各种资源。这些显然是入侵尝试。例如，这是一个访问“经理”应用程序的请求：

127.0.0.1 - - [30/Apr/2015:13:35:13 +0000] "GET /manager/html HTTP/1.1" 401 2474

这是另一个：

127.0.0.1 - - [30/Apr/2015:21:23:37 +0000] "POST /cgi-bin/php?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%22%79%65%73%22+%2D%64+%63%67%69%2E%66%69%78%5F%70%61%74%68%69%6E%66%6F%3D%31+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E HTTP/1.1" 404 1016

解码后的 URL 是这样的：

127.0.0.1 - - [30/Apr/2015:21:23:37  0000] "POST /cgi-bin/php?-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env="yes" -d cgi.fix_pathinfo=1 -d auto_prepend_file=php://input -n HTTP/1.1" 404 1016

有很多这样的条目，都来自 IP 地址 127.0.0.1。显然，由于这是localhost的地址，我无法阻止它。此外，我不确定是否有什么我可以做的。是否存在应该修补的漏洞？例如，是否存在具有相关漏洞的 Tomcat 版本？我正在运行 Tomcat 8。

非常感谢您的建议！

更新：感谢关于代理的建议。原来确实安装了httpd，毫不奇怪，有可疑的请求。例如：

[Sat Mar 30 17:26:49 2013] [error] [client 5.34.247.59] Invalid URI in request GET /_mem_bin/../../../../winnt/system32/cmd.exe?/c+dir HTTP/1.0
[Sat Mar 30 17:26:49 2013] [error] [client 5.34.247.59] Invalid URI in request GET /_mem_bin/../../../../winnt/system32/cmd.exe?/c+dir%20c:\\ HTTP/1.0
[Sat Mar 30 17:26:49 2013] [error] [client 5.34.247.59] Invalid URI in request GET /_mem_bin/../../../../winnt/system32/cmd.exe?/c+dir%20c:\\ HTTP/1.0 

这不是windows系统，所以cmd.exe没有地方放它...

【问题讨论】：

您是否在同一台计算机上使用任何代理？

您的 Tomcat 实例是否可以直接通过 Internet 访问，或者它前面是否有像 Apache 这样的代理服务器（可能与 Tomcat 实例在同一台机器上运行）？如果是，这可能就是您将127.0.0.1 视为IP 地址的原因。检查同一时间段的代理日志以找出真实 IP 地址。然后，您可以在防火墙上阻止这些 IP 地址。

我知道没有代理。我专门检查了 Apache 并没有安装它。我还检查了环境变量，例如“http_proxy”，但没有设置。

更新：原来安装了apache，只是它被安装为“httpd”。这是一个 Amazon EC2 实例，显然 httpd 被用作通过 Web UI 进行服务器更新的机制。

【参考方案1】：

如果您的计算机上运行着代理服务器，它通常会接收请求，然后使用 localhost (127.0.0.1) 接口调用主服务器。

这可以解释您记录这些请求的原因。