Tuần thứ ba: WordPress gần đuổi kịp .env

Tuần trước chúng tôi đã viết về tuần thứ hai của cảm biến trên digimasi.com: nhiều bot hơn, và WordPress tăng gấp đôi. Giờ thì tuần thứ ba đã ghi xong, từ thứ Hai 26 tháng 10 đến Chủ nhật 1 tháng 11. Lần này không chỉ số bot tăng. Số yêu cầu cũng tăng mạnh, và WordPress gần đuổi kịp .env ở vị trí đầu.

Con số

• 2.976 yêu cầu từ 179 địa chỉ IP, ghi nhận từ 0:00 ngày 26 tháng 10 đến hết ngày 1 tháng 11, giờ Jakarta.
• Các địa chỉ đó được đăng ký ở 29 quốc gia. Đó là nơi đặt máy chủ, chưa chắc là nơi của người đứng sau.
• Một mạng gửi khoảng 1/3 số yêu cầu: 1.000 yêu cầu từ 22 địa chỉ.
• 9 yêu cầu mang theo tên đăng nhập hoặc mật khẩu đoán mò, gửi tới những trang đăng nhập vốn không tồn tại.

Không yêu cầu nào thành công. Các tệp chúng tìm không hề có trên website của chúng tôi, nên mọi yêu cầu đều nhận trang "không tìm thấy".

So với tuần thứ hai

• Số yêu cầu tăng khoảng 2/3: từ 1.809 lên 2.976. Địa chỉ IP tăng từ 137 lên 179. Trung bình mỗi địa chỉ gửi khoảng 17 yêu cầu, tăng từ khoảng 13. Vậy tuần này bot vừa đông hơn vừa chăm chỉ hơn.
• WordPress lại tăng, hơn gấp đôi: từ 395 lên 936 yêu cầu, và từ 72 lên 100 địa chỉ. Giờ gần ngang với .env (986).
• .env vẫn đứng đầu, nhưng gần như không tăng: từ 936 lên 986 yêu cầu. Tỷ lệ giảm từ khoảng một nửa xuống 1/3. Số địa chỉ tìm nó vẫn tăng, từ 50 lên 66.
• Tệp PHP tăng gần gấp ba: từ 112 lên 313 yêu cầu. Riêng /index.php bị yêu cầu 54 lần, nhưng chỉ từ 5 địa chỉ.
• Thư mục .git lại tăng: từ 150 lên 253 yêu cầu, và từ 42 lên 63 địa chỉ. /.git/config vẫn là đường dẫn bị yêu cầu nhiều thứ hai (83 lần, từ 50 địa chỉ).

Chúng tìm gì

• Tệp cấu hình bí mật .env (986 yêu cầu, 66 địa chỉ). Bảy trong mười đường dẫn bị yêu cầu nhiều nhất là biến thể của .env: /.env (89), /.env.local (51), /.env.backup (47), /.env.bak (45), /.env.production (41), /.env.save (38) và /.env.old (35).
• WordPress (936 yêu cầu, 100 địa chỉ). Hơn một nửa số địa chỉ ghé đến tuần này đã thử WordPress. Website của chúng tôi không dùng WordPress.
• Tệp PHP (313 yêu cầu, 36 địa chỉ). Website của chúng tôi cũng không dùng PHP.
• Thư mục lịch sử mã nguồn .git (253 yêu cầu, 63 địa chỉ).
• Các tệp cấu hình khác (221 yêu cầu, 40 địa chỉ).
• Khóa cloud và máy chủ (96 yêu cầu, 31 địa chỉ). Lần đầu tiên, /.aws/credentials lọt vào top 10 (35 yêu cầu từ 24 địa chỉ). Tệp này chứa khóa truy cập tài khoản Amazon Web Services.
• Tệp sao lưu (72 yêu cầu, 7 địa chỉ).
• Trang quản trị (56 yêu cầu) và đường dẫn riêng của một số framework (43 yêu cầu). Nhóm sau tăng từ chỉ 1 yêu cầu tuần trước.

Đáng chú ý: một mạng ngày càng lớn

Tuần thứ hai khá phân tán. Tuần này lại có một mạng nổi bật: TECHOFF SRV LIMITED gửi 1.000 yêu cầu từ 22 địa chỉ, khoảng 1/3 tổng số. Suốt ba tuần, mạng này liên tục tăng: 56 yêu cầu ở tuần đầu, 273 ở tuần thứ hai và 1.000 tuần này. Google LLC giữ ổn định (628 yêu cầu từ 30 địa chỉ), tiếp theo là TC DATACENTER (320 từ 10 địa chỉ), DigitalOcean (221 từ 37 địa chỉ) và Cloudflare (140 từ 14 địa chỉ). Một địa chỉ thuộc LIGHT NODE LIMITED một mình gửi 60 yêu cầu. Tên mạng ở đây là chủ sở hữu khối địa chỉ, thường là nhà cung cấp máy chủ hoặc cloud. Ai thuê máy chủ ở đó cũng dùng được, nên không có nghĩa chính công ty đó gửi các yêu cầu.

Các quốc gia cũng thay đổi. Hà Lan giờ dẫn đầu cách xa (1.100 yêu cầu từ 32 địa chỉ), tiếp theo là Mỹ (399), Ba Lan (327), Pháp (206) và Singapore (151). Đức, nước đã gửi 950 yêu cầu ở tuần đầu, tuần này chỉ còn 104. Brazil và Thái Lan lần đầu vào top 10.

Về các lần đoán đăng nhập

Có 9 lần đoán đăng nhập, giảm từ 16 tuần trước. Tất cả đều gửi tới những trang đăng nhập không tồn tại trên website của chúng tôi. Giống hai tuần trước, không có tên đăng nhập phổ biến nào như "admin", nên danh sách tên đăng nhập trong ghi nhận hằng tuần vẫn trống.

Kiểm tra website của chính bạn

Bạn có thể tự kiểm tra tất cả trong năm phút, trên chính website của mình:

• Mở yourdomain.com/.env trên trình duyệt. Kết quả đúng là "không tìm thấy". Nếu thấy nội dung tệp, hãy chuyển tệp ra khỏi thư mục công khai ngay, rồi đổi mọi mật khẩu và khóa có trong đó.
• Thử cả các biến thể: /.env.local, /.env.backup, /.env.bak, /.env.production. Bot đoán những cái tên này mỗi ngày.
• Mở yourdomain.com/.git/config. Kết quả cũng phải là "không tìm thấy". Nếu hiện ra chữ, thư mục .git của bạn ai cũng mở được, kéo theo cả lịch sử mã của website.
• Mở yourdomain.com/.aws/credentials. Nếu tệp này mở được, ai cũng có thể dùng tài khoản cloud của bạn. Hãy xóa nó khỏi thư mục website, rồi vô hiệu hóa khóa trong tài khoản AWS và tạo khóa mới.
• Nếu dùng WordPress: tắt xmlrpc.php nếu không dùng đến, giới hạn số lần đăng nhập, cập nhật plugin thường xuyên, và bật xác minh hai bước cho tài khoản quản trị. Tuần này có 100 địa chỉ khác nhau thử WordPress trên website của chúng tôi, dù chúng tôi hoàn toàn không dùng nó.

Về dữ liệu này

Chúng tôi chỉ quan sát. Toàn bộ dữ liệu đến từ những bot tự tìm đến digimasi.com; chúng tôi không bao giờ quét website của người khác và không hiển thị địa chỉ IP ở đây. Những địa chỉ rõ ràng đang tấn công sẽ được báo cáo cho AbuseIPDB. Cách làm đầy đủ có ở trang phương pháp, và số liệu từng tuần có ở trang ghi nhận hằng tuần.

Dữ liệu: Nghiên cứu bảo mật của Digimasi, ghi nhận hằng tuần của cảm biến (https://doi.org/10.5281/zenodo.23655270).

Chúng tôi sẽ tiếp tục ghi nhận và so sánh kết quả qua từng tuần.