管理サイトに来た不正アクセスのIPとそのカウント

管理するサイトに来た不正アクセスIPとそのカウント

2020/10/14からリクエストの頻度が急に増加したので集計結果をちょこちょこ見てました。

その結果「面白いなぁ」と思ったので記載してみます。

大量リクエストのIPとアクセス回数

1000回以上のアクセスのみ抽出しました。
2列目 [ count ] はアクセス回数。3列目 [ permit ] はページ表示の許可で値＝0はGoogleTOPへ自動転送します。
4列目 [ created_at ] は最初のアクセス日時、5列目 [ updated_at ] は最終アクセス日時です。

おもしろい症状 1：同じカウント回数がいくつか見受けられる

12600と6300ですね。ちょうど倍。
6300回を約1時間で走破して別IPに乗り換えて同じことを繰返すと言うのがよくわかるデータだと思います。

つまりは同一犯。

21のIPで同じことやってくるのだからもう嫌になりますね。

なんでこんなことをしているのか

メリットが無ければしないわけですから「何かを狙っている」のだろうことは分かります。
でも、いくらアクセスされても404エラーになるだけなんですよね。

で、色々調べてみました。

攻撃の名称と痕跡

不正リクエストのあったサイトの場合はディレクトリ・トラバーサルと認識していいのかな。
[ ｗ/026 ]なんて存在しないディレクトリに対してサイトマップ取ろうとしてるし。

そもそも地人用のサイトマップsitmap.htmlで、クローラー用のxmlでない事も不思議なんだけどね。

それぞれの攻撃の目的

もちろん最終的には何某かのデータの取得もしくは破壊を目的としいているのでしょう。

SQLインジェクション

コードの埋め込み（injection）によって重要情報を盗んだり書換を行ったりします。
データベースと連携したウェブアプリではSQLで情報の取り出しを行っています。
SQLインジェクションはこのSQLの命令文に悪意を持ち細工したSQL文を埋め込みデータベースを不正に操作しようとするもの。

OSコマンド・インジェクション

例えば、開いているポートを調査するコマンドを実行されそのポートに対してアクセスする方法を見つけられてしまった場合『踏み台』として利用される事でしょう。
OSコマンドインジェクションはこういったウェブサーバーを不正利用するための調査がと乗っ取りを目的に行われます。

ディレクトリ・トラバーサル

相対パスを利用して管理者が意図していないウェブサーバー上のディレクトリやファイルにアクセスしたりアプリを実行します。

例えば、少人数の中でURLを固定して情報のやり取りをしていたとしてもこのURLは外部に公開されているわけです。こういった「公開の意図はない情報」にアクセスして抜き取る手段として利用されます。

私の組むスクレイピングなどはココに属するんだろうなぁ。ECモールがAPIとかで情報出してくれれば不必要なんだけど。スクレイピングは見る立場が変われば『攻撃』ですよね。確かに。

クロスサイト・スクリプティング

通常、掲示板や問合せフォームはスクリプトを記載できない様に読取時に『文字列』として取り込みます。
サイト作成時にこの一手間を忘れてしまった場合、問合せやサイト内検索などのテキストフォームでスクリプトの実行が可能になってしまいます。
scriptを差し込むことができれば多種多様な用途に使えます。例えばSQLの実行はもちろん、閲覧者の個人情報を端末から抜き取って指定サーバーに送るとか、色々出来てしまいます。

IDS回避を目的とした攻撃

私はこれ知りませんでした。

上の動作はバレバレだから「偽装してくるよ」って事なんですね。
そうすると、管理サイトに来たリクエストもこの手のモノなのかもしれません。
/0001/0000/0000/0001/0001/0003/0004/0001/0000/0002/0001/0000/0004/0002/0001/0000/
とか数字の羅列箇所あったし。

サーバー負荷を狙った攻撃

サーバーは負荷がかかると動作が遅くなります。
場合によってはサーバーダウンに至ったりとか、迷惑千万でこれを狙った嫌がらせが主たる目的です。
システム屋さんはサーバー負荷テストで同じような事わざとする時あるので馴染みは深いですね。
場合によってはそれが残っていて間違えて実行してしまったなんてこと…きっとないはずです。

総当たりによる不正アクセス攻撃

以前の記事で書いた様に、数字とアルファベットの組合せを作ってとにかくアクセスしてみると言う攻撃。
当然ログイン出来る環境(IDとパスワード)を知る事が目的です。
今はユーザービリティを考えてログインエラーで「メールアドレスが不正です」とか「パスワードが不正です」とか教えてくれます。でも、攻撃者にとってはコレすらも成功な情報。
だって『どちらが合っていたか』を教えてくれてるようなもんですからね。
そうやって1個づつ詰めて正答を導き出すプロセスが大量のログインエラーになって現れます。

まとめ

何回Googleにリダイレクトされようとリクエストを送り続けるのですから、管理サイトにアクセスしてくる輩は特に何も確認していないのでしょう。

しかし、こんな単調な攻撃で目的を達成できる事があるのだろうか…。
それとも何か見落としがある？？
謎過ぎて「もしかしてこれ攻撃じゃない？」なんて疑問も生まれる始末。

う～ん、謎。