サーバ攻撃で狙い撃ちされたphpMyAdminのユーザ名とパスワードをランキングしてみた

#概要
[自前のサーバーでブログを開設した途端、世界中から怪しい攻撃が来た話](https://qiita.com/KMim/items/60c1ce893c09872acd15)を読んで、自サーバのログも調べてみたら同様のクラッキング目的と思われるアクセスが来ていたことが確認できました。

その中で、phpMyAdminのユーザ名とパスワードを当てずっぽうで当てにきている攻撃がたくさんあったので、それらについて攻撃された回数をカウントし、ランキングしてみました。

#解析
さくらVPSで契約したサーバ（CentOS 6.10）のApache HTTPサーバのログ（/var/log/httpd/access_log）を取得しました。
中身を見てみると下記のようにphpMyAdminに当てずっぽうのユーザ名とパスワードでアクセスが試みられていることがわかります。

```
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:57:44 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz3edc5tgb&server=1 HTTP/1.1" 200 14538 "-" "Mozilla/5.0"
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:57:46 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@123&server=1 HTTP/1.1" 200 14546 "-" "Mozilla/5.0"
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:57:59 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@2wsx&server=1 HTTP/1.1" 200 14533 "-" "Mozilla/5.0"
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:58:03 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@WSX&server=1 HTTP/1.1" 200 14543 "-" "Mozilla/5.0"
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:58:06 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@WSX3edc&server=1 HTTP/1.1" 200 14538 "-" "Mozilla/5.0"
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:58:09 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@wsx&server=1 HTTP/1.1" 200 14533 "-" "Mozilla/5.0"
```

pythonを用いてこれらの情報を抽出しヒストグラム情報を作りました。
pythonコードは末尾に付録として載せておきます。

#解析対象ログの基本情報
取得期間：2018/09/26 ~ 2020/01/22
全体の行数：658858行
うちphpMyAdminのパスワードを当てずっぽうで当てにきている攻撃と思われるもの：186499行


#ユーザ名の攻撃回数（全25種類）

|順位|ユーザ名 |回数 |
|---|---|---|
|1|root |185504 |
|2|wordpress |183 |
|3|admin |138 |
|4|wp |47 |
|5|blog |45 |
|6|pma |45 |
|7|shop |43 |
|8|money |42 |
|9|popa3d |40 |
|10|joomla |39 |
|11|http |35 |
|12|ueer |35 |
|13|project |35 |
|14|nginx |33 |
|15|apache |33 |
|16|sql |33 |
|17|db |32 |
|18|nas |32 |
|19|shopdb |31 |
|20|dbs |31 |
|21|web |28 |
|22|backupdb |6 |
|23|wordspress |5 |
|24|backup |2 |
|25|backups |2 |

#パスワードの攻撃回数（全953種類のうち上位30種類）

|順位|パスワード |回数 |
|---|---|---|
|1|pass |408 |
|2|password |372 |
|3| |361 |
|4|admin |359 |
|5|123 |347 |
|6|root |344 |
|7|123456 |326 |
|8|welcome |323 |
|9|r00t |322 |
|10|monkey |322 |
|11|whatever |322 |
|12|abc123 |321 |
|13|aa123456 |321 |
|14|123123 |319 |
|15|mysql |318 |
|16|login |318 |
|17|111111 |318 |
|18|password123 |318 |
|19|1234567890 |317 |
|20|access |317 |
|21|666666 |316 |
|22|apache |315 |
|23|oracle |315 |
|24|654321 |315 |
|25|root123 |315 |
|26|123qwe |314 |
|27|1234567 |314 |
|28|12345678 |314 |
|29|pass123 |314 |
|30|letmein|313|

#（ついでに）攻撃されたパスとその回数（全2種類）

|順位|パス|回数|
|---|---|---|
|1|/phpmyadmin/index.php | 173687|
|2|/phpMyAdmin/index.php|12812|


#考察
全ランキングは[こちら](https://docs.google.com/spreadsheets/d/1sDfD5qh4LiRLQnmg5UUX8-Q93x408PQKW0RMZQu4--E/edit?usp=sharing)においておきます。

ユーザ名はrootが圧倒的多数で、ほかはwordpress、blogなどのブログ関連用語、admin、pmaなどデータベース関連用語、apacheなどサーバ関連用語などが並んでいる感じでした。
[sshサーバへの攻撃ログを解析した記事](https://qiita.com/carotene4035/items/4b1079d2cac12e83fa89)と比べるとsshへの攻撃では人名やOS名などが狙い撃ちされているのに対し、phpMyAdminへの攻撃ではブログ関係用語が狙われているなど、微妙に傾向の違いがあって面白いです。

パスワードのトップ3は「pass」「password」「」（なし）でした。
突出してどれかが多いということはなくありがちなものが全体的にまんべんなく狙われている感じでした。
[こちら](https://10mtv.jp/pc/column/article.php?column_article_id=2294)で言われているような「最悪なパスワード」の傾向とも一致しているように思えます。
パターンとしては下記のようなものがありました。

* **有名名詞（PC関連）** - root、mysql、access、apahe、oracleなど
* **有名名詞（一般）** - welcome、monkey、freedom、money、dragonなど
* **数字羅列** - 123456、123123、111111、1234567890、666666など
* **「password」またはその派生** - pass、password、Password、passw0rd、p@$$w0rd123など
* **キーボード順番押し** - qwerty、qazwsx、qazxcv!@#、zaq1zaq1、qwertなど
* **上記の組み合わせ** - abc123、aa123456、password123、123qwe、admin123など



ついでに攻撃対象となったパスも集計しました。
攻撃対象となっていたのは以下の2種類だけでした。

* /phpmyadmin/index.php
* /phpMyAdmin/index.php

[不正アクセス防止のための狙われるアクセス先リスト](http://everyday-growth.com/?p=216)
や
[狙われやすいURLについて](http://blog.shinkaku.co.jp/archives/42885594.html)
の記事で言及されていたパスと比べるとバリエーションが少ないのは、今回が"pma_password="が含まれているという条件で行を抽出したあとの結果であるためと考えられます。実際抽出条件を「"phpMyAdmin"が含まれていること」にしてログを眺めてみると、今回挙げた2種類以外のパスへのアクセスも試みられていることがわかりました。

#おわりに
僕はセキュリティの知識はほぼないので「どうしたら安全か」はわかりませんが、少なくともデフォルトパスにおいたデータベースにありがちなユーザ名とパスワードをセットで使うのはやめようと思いました。

本文は以上です。
ここまでお読みいただきありがとうございました。
以下は付録です。

#付録
ログから必要情報を抽出するためのpythonコードです。
今回は下記のような行を解析対象としました。

```
xxx.xxx.xxx.xxx - - [04/Oct/2018:02:58:03 +0900] "GET /phpMyAdmin/index.php?pma_username=root&pma_password=1qaz@WSX&server=1 HTTP/1.1" 200 14543 "-" "Mozilla/5.0"
```

"pma_password="が含まれていれば解析対象とみなします。
ここからスペースや特定の文字、キーワードで分割するなどして、情報を抽出します。
情報とその取り出し方の例を示します。
ここはログファイルの書き出しの設定などによって異なる可能性があるので適宜修正してください。

|情報|取り出し方|
|---|---|
|ipアドレス|スペースで分割して0番目|
|タイムスタンプ|"["と"]"で囲まれた文字列|
|Method (GET, POSTなど）|スペースで分割して6番目。ただし初めの文字がダブルクオテーションなのでそれは削除する|
|phpMyAdminのパス|スペースで分割されたうち7番目の要素から"?"の直前まで|
|ユーザ名|"pma_username="と"&"の間の文字列|
|パスワード|"pma_password="と"&"の間の文字列。（ただしこの部分のqueryでurlが終了している場合があり、そのときは後ろの"&"が存在しないため、スペースの直前までとする）|

全部の行がこのやり方で抽出できているとは限らないのですが、多少例外があっても影響は少ないだろうと思って無視しています。そのあたりは適当です。
要素を取り出したあと、注目する情報（今回はphpMyAdminのパス、ユーザ名、パスワード）の回数を数えます。
最後に降順にソートして標準出力に表示します。

ソースコード全体は下記のような感じです。

```Python
from collections import defaultdict

with open('/path/to/access_log','r') as f:
    logs = f.readlines()

#phpMyAdminへの攻撃の抽出
pma_attacks = [log for log in logs if 'pma_password' in log]

#ip, time_stamp, method, path, username, passwordを抽出
#ログの形式に合わせて適宜書き換える
extracted_pma_infos = []
for pma in pma_attacks:
    #ipアドレスはスペース区切りの0番目の要素
    ip = pma.split(' ')[0] 
    #タイムスタンプは"["から"]"までの文字列
    time_stamp = pma.split('[')[1].split(']')[0] 
    #Method（POST、GETなど）はスペース区切りの6番目の要素から1文字目を削除したもの
    method = pma.split(' ')[5][1:]
    #pathはスペース区切りの6番目の要素のうち"?"の直前までの文字列
    path = pma.split(' ')[6].split('?')[0]
    #ユーザ名は"pma_username="から直近の"?"までの文字列
    username = pma.split('pma_username=')[1].split('&')[0]
    #パスワードは"pma_password="から直近の"?"までの文字列
    password = pma.split('pma_password=')[1].split('&')[0]
    #パスワードが最後のクエリの場合の例外処理
    #このとき、直近の"?"が存在せずログの末尾まで含まれてしまうので、スペースの直前できる
    if ' ' in password:
        password = password.split(' ')[0]
    extracted_pma_infos.append([ip,time_stamp,method,path,username,password])

#攻撃されたパス、ユーザ名、パスワードのヒストグラムを作る
pathlist = defaultdict(int)
unlist = defaultdict(int)
pslist = defaultdict(int)
for pma in extracted_pma_infos:
    path = pma[3]
    un = pma[4]
    ps = pma[5]
    pathlist[path]+=1
    unlist[un]+=1
    pslist[ps]+=1

#引数のヒストグラムデータ(dict_obj)を解析して降順のリストを作る関数
def orderedlistFromDict(dict_obj):
    count = list(set([dict_obj[v] for v in dict_obj]))
    count.sort()
    orderedlist = []
    for c in count[::-1]:
        for key in dict_obj:
            if dict_obj[key] == c:
                orderedlist.append((key,dict_obj[key]))
    return orderedlist

#攻撃されたパス、ユーザ名、パスワードの回数順のリスト
ordered_path = orderedlistFromDict(drlist)
ordered_un = orderedlistFromDict(unlist)
ordered_ps = orderedlistFromDict(pslist)

#パスランキングの表示
for val in ordered_path:
    print(val[0],val[1],sep=',')

#ユーザ名ランキングの表示
for val in ordered_un:
    print(val[0],val[1],sep=',')

#パスワードランキングの表示
for val in ordered_ps:
    print(val[0],val[1],sep=',')
```