这是有人试图入侵服务器吗？

Question

我一直在我的 nginx 和 Apache 服务器日志文件中看到以下内容为 400：

() { :; }; /bin/ping -c 3 x.x.x.x

xxxx 是不同的 IP。这看起来像黑客试图在服务器中找到漏洞吗？我们有 IP 阻止设施，但如果它是真实的，我不想这样做。

完整的日志文件条目是：

207.150.177.200 - - [25/Sep/2015:08:51:02 +0200] "GET / HTTP/1.0" 400 226 "() { :; }; /bin/ping -c 3 82.118.236.247" "-"

Answer 1

是的，他们正在努力。而失败。

您可以通过查看返回码来判断它们失败了 -400 - bad request意味着您的服务器基本上是在说“我不会让您这样做”。在这种情况下，这是一件好事。

Answer 2

我非常尊重珍妮的回答，但我想我必须补充一点：

这是一次进行shellshock攻击的尝试（感谢 Iain 指出这一点）。如果您已经针对此漏洞修补了您的服务器，Web 服务器将返回一个400，这会占用CPU微秒的时间，并且不会再考虑这个问题。

但是你写道你“一旦他们出现就阻止他们（因为没有必要在他们身上浪费资源！） ”。我可以指出你在他们身上浪费了大量资源 - 机智，你的时间？

试图播放捶痣与利用大谈特谈你的系统上的每个应用程序是不是一个很好的利用你的时间！正确的做法是——确定你不容易受到它们的影响——忽略它们，让它们被记录下来，并在后处理中将它们筛选出来。最好地利用你的时间是无情地跟上你的补丁！