Khả năng khai thác^null $ có thể được báo cáo bởi LogWatch là gì?

Question

LogWatch là một công cụ tuyệt vời cung cấp báo cáo hàng ngày về các tệp nhật ký linux. Nó bao gồm một số tóm tắt thông tin, như lưu lượng truy cập, người dùng đã đăng nhập, người đã sử dụng sudo, thông báo hạt nhân có liên quan, IP đã thăm dò máy chủ, công cụ tìm kiếm thăm dò apache của bạn, v.v ...

Một phần bao gồm địa chỉ IP được sử dụng được biết đến khai thác các nỗ lực để hack máy chủ của bạn. Họ không nhất thiết phải thành công, nhưng họ vẫn được liệt kê trong báo cáo vì kiến ​​thức. Đây là những gì nó trông giống như.

Attempts to use known hacks by 4 hosts were logged 4 time(s) from: 
    187.13.156.179: 1 Time(s) 
     ^null$ 1 Time(s) 
    187.60.121.62: 1 Time(s) 
     ^null$ 1 Time(s) 
    189.123.240.18: 1 Time(s) 
     ^null$ 1 Time(s) 
    189.70.214.124: 1 Time(s) 
     ^null$ 1 Time(s) 

Câu hỏi của tôi chính xác là điều này ^null$ tấn công là gì? Tôi đã thử googling này, nhưng không có gì có liên quan dường như xuất hiện.

Answer 1

Điều này thường không phải là điều đáng lo ngại - nó không nhất thiết là một cuộc tấn công thực sự. ^null$ "tấn công" chỉ đơn giản là kết nối khách hàng chấm dứt mà không gửi bất kỳ yêu cầu HTTP nào (tức là kết nối được thiết lập cho máy chủ web của bạn nhưng không nhận được yêu cầu).

Nếu bạn có nhiều lần thử trên máy chủ của mình từ một IP hoặc nhiều mục nhập ^null$ cho mỗi IP thì bạn có thể có bằng chứng về nỗ lực phối hợp. Vì nó là, tôi sẽ đề nghị bạn một cách an toàn có thể bỏ qua các ví dụ đăng nhập bạn đã đưa ra ở trên.

Answer 2

Thật thú vị khi lưu ý rằng Heartbleed thăm dò chuyển thành cảnh báo như vậy từ logwatch:

Attempts to use known hacks by 1 hosts were logged 1 time(s) from: 54.82.203.167: 1 Time(s) ^null$ 1 Time(s)

Các tương ứng ghi nhật ký Apache SSL là:

XXXXXX:443 54.82.203.167 - - [10/Apr/2014:00:19:45 +0200] "quit" 301 1313 "-" "-"

(sử dụng http://filippo.io/Heartbleed/)

Answer 3

Một số loại monito dịch vụ vòng sẽ làm cho điều này cũng được thực hiện; ví dụ uptimerobot.com:

Nỗ lực để sử dụng hack được biết đến với 10 máy chủ được đăng nhập 107 thời gian (s) from: 74.86.158.106: 91 Time (s) ^ rỗng $ 91 Thời gian (s)

74.86.158.106 - - [09/Feb/2015: 01: 09: 54 -0500] "GET/HTTP/1.1" 200 17896 "-" "Mozilla/5.0 + (tương thích; UptimeRobot/2.0; http://www.uptimerobot.com/)"

74.86.158.106 - - [09/Feb/2015: 01: 10: 47 -0500] "HEAD/HTTP/1.1" 200 - "-" "Mozilla/5.0 + (tương thích; UptimeRobot/2.0; http://www.uptimerobot.com/)"

Cert ain loại các ứng dụng chuyển đổi dự phòng có khả năng sẽ đặt nó ra là tốt, như nhịp tim và ldirectord (tùy thuộc vào cấu hình của chúng).