自動化漏洞利用與後門植入掃描

160.30.157.214 - - [06/Aug/2026:22:08:00 +0800] "POST /cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/bin/sh HTTP/1.1" 400 157 "-" "-" "-"160.30.157.214 - - [06/Aug/2026:22:08:02 +0800] "POST /cgi-bin/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh HTTP/1.1" 400 157 "-" "-" "-"160.30.157.214 - - [06/Aug/2026:22:08:04 +0800] "POST /hello.world?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input HTTP/1.1" 404 42733 "-" "libredtail-http" "-"160.30.157.214 - - [06/Aug/2026:22:08:05 +0800] "POST /?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input HTTP/1.1" 200 51353 "-" "libredtail-http" "-"160.30.157.214 - - [06/Aug/2026:22:08:06 +0800] "POST /index.php?%25ADd+allow_url_include%3D1+%25ADd+auto_prepend_file%3Dphp://input HTTP/1.1" 200 51353 "-" "libredtail-http" "-"160.30.157.214 - - [06/Aug/2026:22:08:06 +0800] "POST /test.hello?%25ADd+allow_url_include%3D1+%25ADd+auto_prepend_file%3Dphp://input HTTP/1.1" 404 42741 "-" "libredtail-http" "-"160.30.157.214 - - [06/Aug/2026:22:08:07 +0800] "POST /index.php?-d+allow_url_include%3don+-d+auto_prepend_file%3dphp%3a//input HTTP/1.1" 200 51353 "-" "libredtail-http" "-"160.30.157.214 - - [06/Aug/2026:22:08:08 +0800] "GET /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php HTTP/1.1" 404 153 "-" "libredtail-http" "-"

請解釋

這段日誌記錄了網際網路上極度危險且目標精準的**「自動化漏洞利用與後門植入掃描」（Vulnerability Exploitation & RCE Scan）**。

攻擊者（IP：160.30.157.214，使用工具 libredtail-http）在短短 8 秒鐘內 連續發射了多種不同類型的著名遠端代碼執行（RCE）武器。他試圖直接綁架您的伺服器作業系統，或是利用 PHP 漏洞在您的 WordPress 中塞入惡意木馬。

以下為您詳細拆解駭客這 8 秒鐘內每一步的致命命令與您的 Nginx 回應：

1. 每一條日誌命令的用意深層拆解

【第一步：嘗試路徑穿越漏洞（Apache 歷史漏洞 CVE-2021-41773）】

第 1~2 條命令（22:08:00 ~ 22:08:02）：
- POST /cgi-bin/.%2e/.%2e/.../bin/sh
- POST /cgi-bin/%%32%65%%32%65/.../bin/sh
- 用意：駭客利用 .%2e/（這是 ../ 向上跳一層目錄的網址編碼與雙重編碼），企圖透過網頁一路跳出 Nginx 根目錄，去執行您 Linux 系統底層的終端機程式 /bin/sh。
- 您的回應 400 157：Nginx 直接回傳 404 或 400（錯誤請求），並用 157 位元組的錯誤畫面拒絕，防禦成功。

【第二步：猛烈轟炸 PHP-CGI 遠端代碼執行漏洞 (CVE-2024-4577) ⚠️ 極危險】

第 3~7 條命令（22:08:04 ~ 22:08:07）：
- POST /?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input
- 用意：這是專門針對 Windows 環境（包含 XAMPP）或特定 PHP 設定的遠端程式碼執行漏洞（CVE-2024-4577）。駭客透過 %ADd（特定的字元編碼）試圖強制在您的 PHP 大腦中開啟「允許讀取外部網址（allow_url_include=1）」，並企圖將他透過 POST 送過來的惡意木馬程式碼直接當作網頁開頭強制執行（auto_prepend_file=php://input）。
- 致命的數字發現：200 51353
  - 請注意第 4, 5, 7 條，Nginx 回應了 200，且回傳了高達 51353 位元組（約 51 KB）的資料！
  - 這代表什麼？：這代表他嘗試對您的 index.php 攻擊時，網頁成功執行了。但這不一定代表他成功植入了後門，更普遍的情況是：因為您的首頁（WordPress 首頁）本來就是 index.php，他雖然在網址後面亂加攻擊參數，但您的 WordPress 只是把這些參數當成垃圾忽略，然後很正常地把高達 51KB 的完整網站首頁畫面吐還給他。

【第三步：探測常見的開發工具漏洞 (PhpUnit RCE)】

第 8 條命令（22:08:08）：
- GET /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php
- 用意：PhpUnit 是工程師常用的程式測試工具，但舊版本有一個非常著名的遠端執行漏洞。駭客企圖尋找您的網站目錄下有沒有遺留這個測試檔案。
- 您的回應 404 153：回傳 404（找不到網頁）。因為您的環境很乾淨，沒有這個漏洞檔案，防禦成功。

🛡️ 資安應對與 Fail2ban 防線補強

這隻機器人的行為極度惡劣，它在 8 秒內狂轟濫炸了各種類型的底層漏洞。

雖然您的 Nginx 用 400 和 404 擋掉了大部分，且 index.php 也只是正常吐出首頁（200），但我們現有的 Fail2ban 機制需要更靈敏地把這種人瞬間封死：

您的 nginx-4xx 已經立大功：
- 在第 1、2、3、6、8 條中，他總共觸發了 5 次 400 或 404 錯誤。如果您主機上的 nginx-4xx 限制是 5 次，他在第 8 條（22:08:08）的這一瞬間就會被您的 Fail2ban 偵測到，並直接透過 nftables 物理斷線，後面所有的攻擊（包括您先前貼出的那 104 行）通通都會被瞬間掐滅。
關於狀態碼 400 的優化建議：修好後記得執行 sudo fail2ban-client reload。
- 這段日誌出現了 400 狀態碼（Bad Request）。如果您希望防火牆更嚴格，可以把您的 /etc/fail2ban/filter.d/nginx-4xx.conf 微調加入 400：
```
failregex = ^<HOST> - - \[.*\] ".*" (400|403|404|444) .*
```

既然您已經成功用 nftables 建立了防禦網，這類漏洞掃描器在觸發幾次 404 之後，就會全部在您的 Banned IP list 裡乖乖排隊了！