Il semble essayer d'exploiter une forme d'injection de commande. Comme DarkMatter l'a mentionné dans sa réponse, il s'agissait probablement d'une vaste tentative de recherche de serveurs vulnérables, plutôt que de vous cibler spécifiquement. La charge utile elle-même semble simplement être en train de tester pour voir si le serveur est vulnérable à l'injection de commandes. Il ne semble pas avoir d'objectif supplémentaire.

Afin de tester si vous seriez affecté par ces charges utiles spécifiques, le moyen le plus simple serait de les envoyer à votre propre serveur et de voir comment elles répondent. Notez que je dis cela uniquement parce que les charges utiles elles-mêmes sont bénignes; Je ne recommande pas de faire cela avec toutes les charges utiles.

Mon pari est que votre serveur n'est pas vulnérable, car je me serais attendu à voir une demande de suivi pour exploiter réellement votre serveur.

Ce n'est probablement rien. Cela ressemble au spam généralisé d'un scanner recherchant sur le Web tout site Web qui évalue et renvoie cette soustraction alors qu'il ne devrait pas. C'est une chose assez courante à voir.

L'utilisation de noms de fonctions réels (par exemple print ) suggère qu'ils recherchent des sites Web qui utilisent eval d'une manière ou d'une autre (notez que cela pourrait être le eval (string $ code) , eval (string) de JavaScript et les équivalents d'autres langages de script).

Je note que le code exécutable apparaît immédiatement après le premier paramètre version après Mozilla / . Cela signifie que les auteurs de cette attaque pensent que suffisamment de sites Web dans la nature utilisent en fait eval comme moyen (horrible) d'analyser une version à deux composants ( major.minor ) nombre.

Donc, j'imagine que les sites Web vulnérables faisaient quelque chose comme ceci (pseudo-code):

  var userAgent = request.headers [" User-Agent "]; var indexOfVersion = userAgent.indexof ('/'); var indexOfVersionEnd = userAgent.indexof (indexOfVersion, ''); var versionText = userAgent.substring (indexOfVersion + 1, indexOfVersionEnd); var versionNumber = eval ( versionText); // < ------- c'est la vulnérabilité!  

il semble qu'ils essaient d'injecter du code PHP dans les fichiers journaux. L'idée étant que si l'administrateur système utilise une application PHP pour analyser les journaux, certains pourraient voir le fichier journal comme fiable (après tout, l'utilisateur ne peut normalement pas modifier directement le fichier journal) et donc renoncer à tout processus de nettoyage.

Si vous regardez vos fichiers journaux via un éditeur de texte de bureau ou CLI, vous ne serez jamais vulnérable à cette attaque. Si vous utilisez une application PHP, assurez-vous qu'elle traite les journaux comme non fiables et nettoyez-la comme vous le feriez avec un champ de saisie utilisateur normal.

C'est simple; ils essaient l'injection de commandes PHP. Le processus consiste à remplacer un en-tête (dans ce cas le champ de l'agent utilisateur) par une expression mathématique, puis à déterminer si le code est en cours d'exécution voir la valeur de retour. Si le code est exécuté, la valeur de retour sera le résultat de l'expression, plutôt que l'expression d'origine. Vous remarquerez l'utilisation légèrement spammée des crochets ouverts et fermés, des points-virgules et d'autres caractères souvent utilisés pour tromper les langues interprétées en interprétant des données en tant que code exécutable. Il n'y a pas de quoi s'inquiéter, les analyses de vulnérabilités automatisées comme celle-ci sont désormais courantes.