Analizando los ataques

Bueno, vamos a por ello!

Básicamente hay dos ataques interesantes desde mi punto de vista, el primero es la obtención de robots.txt y el segundo es el saveserver.php.

Robots.txt es un archivo de configuración que indica a los robots de los buscadores que directorios deben y no deben indexar en sus motores. Por tanto es susceptible de encontrar directorios sensibles que no se desean indexar. A pesar de todo, después de comprobar la IP en Whois queda descartado que sea un ataque ya que pertenece a Google y sencillamente se tratará del propio motor de búsqueda que hace la petición.

Por otro lado el saveserver.php parece que adolece de un bug que permite subir un archivo. No hay que decir que es gravísimo ya que subiendo un PHP que ejecute comandos en el servidor ya tendría el atacante una consola con los permisos del usuario del servidor... una puerta totalmente abierta al sistema. Este bug está documentado aqui.