[Nexiu]

#niebezpiecznik #nginx #serwerownia #serwery
Czesc, od paru dni widze dziwne logi w nginx, i prawdopodobnie chwile pozniej strona pada - pomaga dopiero zrestartowanie php-fpm.
Czy ktos sie z tym spotkal? Bo nie widze w sieci za duzo informacji. Wczesniej jeszcze pojawial sie w logach "Gh0st". Log dump:
/var/log/nginx $ sudo cat access.log | grep "\x1"
172.105.128.13 - - [09/Mar/2024:02:02:30 +0000] "\x16\x03\x01\x00\x85\x01\x00\x00\x81\x03\x03\xA0\x0C\x8Fi\x15\xE7\xD1\x08\xE1I\x83B\x19UJg\xA5\x95'$a\x14\xDFu\x14\x8C\xBE\xA1H\x10\xA5e\x00\x00 \xC0/\xC00\xC0+\xC0,\xCC\xA8\xCC\xA9\xC0\x13\xC0\x09\xC0\x14\xC0" 400 150 "-" "-"
103.153.69.117 - - [09/Mar/2024:03:21:50 +0000] "CNXN\x00\x00\x00\x01\x00\x00\x04\x00\x1B\x00\x00\x00M" 400 150 "-" "-"
178.128.105.80 - - [09/Mar/2024:07:34:29 +0000] "\x16\x03\x01\x00{\x01\x00\x00w\x03\x03p\x94c\x88c\xAA!\xE3\xB0\x1D\x1A\xA1\xF2}'\xD3\xA1\x1B/mD\x9E\xB4\xE0\xC5\xEBO\xFC\xC9\xC4\x85\xD0\x00\x00\x1A\xC0/\xC0+\xC0\x11\xC0\x07\xC0\x13\xC0\x09\xC0\x14\xC0" 400 150 "-" "-"
178.128.105.80 - - [09/Mar/2024:07:34:29 +0000] "\x16\x03\x01\x00{\x01\x00\x00w\x03\x03\xCD\x7F\xE8\x93\xC8<\x16\xB53\x02\xA7\x93{\xFFOh\xB7Z\xB3\x84w\x03\x84\xC5\x15=\x9BG\xF5F?\xB4\x00\x00\x1A\xC0/\xC0+\xC0\x11\xC0\x07\xC0\x13\xC0\x09\xC0\x14\xC0" 400 150 "-" "-"
178.128.105.80 - - [09/Mar/2024:07:34:31 +0000] "\x16\x03\x01\x00{\x01\x00\x00w\x03\x03\xF11\xA4B\xBB-w\xA7\xD2\xDC2Q\xB1\xE0\xAA2\x81Y\x90\xCB,<e\x93\x98\x107\xFE\xC57?\x18\x00\x00\x1A\xC0/\xC0+\xC0\x11\xC0\x07\xC0\x13\xC0\x09\xC0\x14\xC0" 400 150 "-" "-"
205.210.31.82 - - [09/Mar/2024:07:41:02 +0000] "\x16\x03\x01\x00\xEE\x01\x00\x00\xEA\x03\x03\xAC\xC8\xD7\x9A\x8C/\xC2\x17\x01\xF0\x5Cn\xEAL\x0F\x0E,~\x8B\x92\xFD\xEE{gw\xDD\xACI\x08\xC9\xCCY \xE9\xFC(,\xAD\x9E\x87\x81\x9D ~ \x82S}\x9FH\xE9\xDEHT\xAF\x0B\xED\x16\xAB\xE4> \x85j\xCF\x00&\xC0+\xC0/\xC0,\xC00\xCC\xA9\xCC\xA8\xC0\x09\xC0\x13\xC0" 400 150 "-" "-"
205.210.31.82 - - [09/Mar/2024:07:41:02 +0000] "\x16\x03\x01\x00\xCA\x01\x00\x00\xC6\x03\x03\xDC\xD34\xFD!;x\x9Fg\xF4\xC6\xE2\xB3\x86\xDD\x94\xFC\x8EX\xA4L?6\xF5\xCE\x0F\x07R{T\xAD\x00\x00h\xCC\x14\xCC\x13\xC0/\xC0+\xC00\xC0,\xC0\x11\xC0\x07\xC0'\xC0#\xC0\x13\xC0\x09\xC0(\xC0$\xC0\x14\xC0" 400 150 "-" "-"
216.218.206.69 - - [09/Mar/2024:10:25:12 +0000] "\x16\x03\x01\x00{\x01\x00\x00w\x03\x03V\x00\xF8\x1B\xE1\x06\xD5\x12\x07+\xA6n\xE1\xE6\xEC\xC3]\xCE\x9B|\xEBw\x9F\xD44" 400 150 "-" "-"
`

[krzyzakp]

@Nexiu wyglada ze ktos sie nudzi i probuje wywalic Twoja strone, co jak widac mu sie udaje.. Masz aktualnego PHP i cala reszte? Bo nie sadze by mial jakiegos 0-day, po prostu probuje znane podatnosci...

[widofmaker]

@Nexiu: z tego co przegladnalem neta wyglada na to ze to jest to problem z SSL

"That looks like someone trying to connect using SSL to a non-SSL port (i.e. https://)."

przegladnij

https://serverfault.com/questions/195622/what-is-this-in-error-log-invalid-method-in-request-x16-x03-x01
https://serverfault.com/questions/390013/http-requests-x80z-x01-x03-x01-in-my-apache-logs
https://stackoverflow.com/questions/22413104/server-under-attack-website-logs-x80w-x01-x03-x01-and-hnap1-how-do-i-stop-bot

[Nexiu]

@widofmaker poczytam, ale ja mam cały ruch przekierowany z 80 na 443.. Trzeba będzie wdrożyć Cloudflare :)

[widofmaker]

@Nexiu: i wlasnie w tym jest problem. Klient, badz tez wiele klientow probuje wyslac SLL na port 433 ktory domyslnie jest przeznaczony dla HTTPS, serwer, w tym wypadku nginx probuje to zinterpretowac jako HTTP :)