[NGINX] 악성 IP 차단하기

[ucharles]

상황

• 며칠 서버를 열어두었더니 공격을 위한 접근이 꽤 많이 관찰됨
• 불상사에 대비해 차단하기로 함

  목표

• IP 블랙리스트와 로그를 분석하여 IP 차단 목록을 구성하기
• 24시간 주기로 IP 차단 목록 갱신하기

[ucharles]

패턴

공격을 목적으로 하는 봇은 보통 robots.txt나 sitemap.xml을 확인하지 않는다.

GET

WordPress

• xmlrpc.php 접근
• wlwmanifest.xml 접근
• /wp-admin/install.php 접근

  SpringBoot

  phpMyAdmin

• 하위 경로를 바꿔가면서 /scripts/setup.php에 접근

  phpunit

• 상위 경로를 바꿔가며 /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php에 접근

  .env 접근

  ASP.NET

• /Telerik.Web.UI.WebResource.axd?type=rau

  별다른 공격 없이 이상한 헤더만 남기고 감

_rsc

• /ja?_rsc=4r2nx

POST

분류 필요

• /ws_utc/resources/setting/options
• /api/v1/cav/client/visits
  • GIFTEDVISITOR SCAN
• /wp-content/plugins/wp-payeezy-pay/donate.php