5 Sekunden, 12 Angriffe: Wenn der Server-Log zum Krimi wird

Es ist Sonntagnachmittag, der Kaffee steht auf dem Tisch und ein Blick in die Server-Logs bringt pure Unterhaltung. Irgendein eifriges Skript da draußen hat beschlossen, unsere Infrastruktur auf Herz und Nieren zu prüfen.

Die Bots geben einfach keine Ruhe. Aber ganz ehrlich? Wer heute noch hofft, bei einem gepflegten System eine offene Umgebungsdatei zu finden, glaubt auch an den Weihnachtsmann.

Wir sind hier bestens abgesichert, aber die Dreistigkeit dieser automatisierten Scans fasziniert mich immer wieder.

Der 5-Sekunden-Stresstest für unseren Webserver

Schauen wir uns den Log-Auszug mal genauer an. Zwischen 13:07:07 und 13:07:12 Uhr prasselte ein regelrechtes Dauerfeuer an HTTP-Requests auf unseren Server ein. Das Ziel war dabei völlig klar definiert: Finde die Konfigurationsdateien, greif die Zugangsdaten ab und übernimm die Bude.

• Umgebungsvariablen: /.env.backup, /.env.bak, /public/.env und /config.env
• Cloud-Credentials: /service-account.json und /__/firebase/init.json
• Framework-Secrets: /secrets.yml und /storage/logs/laravel.log
• API-Endpunkte: /api/v1/env und /api/config

Plumpes User-Agent-Roulette

Besonders amüsant finde ich die Tarnung des Tools. Der Bot wechselt bei fast jedem verdammten Request sein Betriebssystem. Mal gibt er sich als Linux-Kiste aus, dann als Mac, dann wieder als Windows-Rechner. Sogar ein iPhone wird zwischendrin simuliert, um echten Traffic vorzutäuschen.

Das ist so offensichtlich maschinell generiert, dass unsere Firewall vermutlich schon beim zweiten Request gähnend abgewinkt hat. Wer solche Standard-Scanner aus dem Netz lädt und stumpf abfeuert, fängt damit höchstens vergessene Hobby-Projekte ein.

Warum bei vzcsystem.at die Tür zu bleibt

Seit dem Rollout von VZC System 4.0 haben wir unsere Hausaufgaben noch penibler gemacht. Konfigurationsdateien haben im Public-Directory absolut nichts verloren.

Jeder dieser Requests rennt bei uns direkt in einen knallharten 404-Fehler. Oder besser noch: ins Leere, weil solche sensiblen Pfade auf Serverebene längst hart blockiert sind.

Es ist extrem beruhigend zu sehen, dass die eigenen Sicherheitskonzepte im Live-Betrieb exakt so funktionieren, wie auf dem Whiteboard geplant.

Kurzfazit

Dumme Bots verschwenden unsere Bandbreite mit der Suche nach Laravel-Logs, aber an unserer Server-Architektur beißen sie sich komplett die Zähne aus.