tmUnblock.cgi

[Mijzelf]

Naar aanleiding van shellshock houd ik mijn serverlogs wat in de gaten, en ik vond een aantal van deze regels:

code:

211.24.61.96 - - [30/Sep/2014:08:51:30 +0200] "GET /tmUnblock.cgi HTTP/1.1" 400 349 "-" "-"

Ze komen van verschillende, ongerelateerde ip adressen, wat een botnet doet vermoeden.

Google vertelt dat tmUnblock.cgi een lekke binary in Cisco/Linksys routers. Dat verklaart de scan.

De vraag is: waarom geeft deze request een 400? Ik zou een 404 verwachten.

[Ploink]

http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html

10.4.1 400 Bad Request
The request could not be understood by the server due to malformed syntax. The client SHOULD NOT repeat the request without modifications.

Ik denk dat die bot een bug heeft waardoor de HTTP syntax niet helemaal correct is.

[Faeron]

De request is een 'Bad Request' omdat HTTP/1.1 vereist dat je een hostname specificeert in een Host header regel. Deze ontbreekt echter in de request. Vandaar een 400 foutcode.