Wireshark抓包发现Web服务器遭恶意注入致400/414错误，请求验证分析结论

一、现有分析结论的验证结论 #

初步判定准确，该行为属于明确的恶意攻击，无观察偏差：

• 载荷特征匹配：抓包中连续出现的2e 2f十六进制序列，ASCII解码后完全对应./字符，无实际业务意义的重复路径拼接属于典型的攻击试探载荷，绝非正常用户访问行为
• 响应逻辑匹配：服务器返回的400 Bad Request、414 URI Too Large响应，与“1441字节以上大尺寸请求被拦截”的观察完全对应——414是Web服务因请求URI长度超过预设阈值直接拒绝，400是畸形请求不符合HTTP协议规范被丢弃，两类响应的生成逻辑一致
• 攻击意图判定：该IP的行为同时覆盖两类恶意目标：
  • 应用层DoS试探：通过持续发送畸形超长请求，占用Web服务的连接解析资源，以极低的带宽成本消耗服务器的HTTP worker进程，干扰正常用户访问
  • 路径遍历探测：攻击者在重复./序列的前后拼接服务器文件路径片段，试图绕过Web根目录的权限边界，未授权访问后端配置文件、私有目录数据

二、典型抓包载荷参考 #

0050  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././
0060  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././
0070  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././
0080  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././
0090  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././
00a0  2e 2f 2e 2f 2e 2f 2e 2f  2e 2f 2e 2f 2e 2f 2e 2f  ././././././././

三、分层处置建议 #

• 边界防护层处置
  • 立即将定位到的攻击源IP加入防火墙、WAF的永久黑名单，阻断所有入站连接
  • 在WAF侧新增拦截规则：单请求URI长度超过1024字节直接拦截、请求路径中连续出现5次以上重复./序列直接判定为恶意请求拦截，从入口侧减少攻击流量对后端的消耗
• Web服务层加固
  • 调整Web服务配置：将Nginx的large_client_header_buffers、Apache的LimitRequestLine参数调整为合理阈值，从服务端侧快速拒绝超长、畸形请求，避免资源被无效占用
  • 开启全量访问日志、错误日志留存，按响应码聚合统计源IP分布，及时发现同类攻击的其他源节点
• 后端风险排查
  • 回溯近7天的Web访问日志，筛选所有包含../、重复./序列的公网请求，确认是否存在未被拦截的路径遍历请求成功访问敏感资源的记录
  • 落实权限最小化原则：Web服务运行账号仅保留站点根目录下必要文件的读取权限，对系统配置、后端私有目录做权限隔离，即使出现路径遍历尝试也无法越权读取敏感数据

内容的提问来源于stack exchange，提问作者Andy