[connect24h:6968] Re: このクラッキングパターンでＩＩＳのクラッキングは可能でしょうか？

[taniguchi <taniguchi@xxxxxxxxxxxxxx>]

たにぐちと申します。

On Thu, 29 Jan 2004 17:20:23 +0900
石川 聖昭 <iki_yakkha@xxxxxxxxxxx> wrote:

> 
> "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 292

これは、過去に攻撃を受けてscriptsにroot.exe（通常は、cmd.com）をコピーさ
れている場合に有効です。

> "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 290

上記と同じく過去に攻撃を受けてMSADCにroot.exeをコピーされている場合に有
効です。

> "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 300
> "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 300

この攻撃パターンを利用できるのは、IISの古いやつですね

> "GET /scripts/..%xxxx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 314
> "GET
> /_vti_bin/..%xxxx../..%xxxx../..%xxxx../winnt/system32/cmd.exe?/c+dir
> HTTP/1.0" 404 331
> "GET
> /_mem_bin/..%xxxx../..%xxxx../..%xxxx../winnt/system32/cmd.exe?/c+dir
> HTTP/1.0" 404 331
> "GET
> /msadc/..%xxxx../..%xxxx../..%xxxx/..%xx%xx../..%xx%xx../..%xx%xx../winnt/system32/cmd.exe?/c+dir
> HTTP/1.0" 404 347
> "GET /scripts/..%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313
> "GET /scripts/..%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313
> "GET /scripts/..%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313
> "GET /scripts/..%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 313
> "GET /scripts/..%%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 304
> "GET /scripts/..%%xxx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 304
> "GET /scripts/..%xx%xx%xx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 314
> "GET /scripts/..%xxxx../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 314

たぶんUNICODEダブルバイトイベイジョン（Unicode DobleByte evasion）と判断
されますのでMS01-026修正モジュールがあったっていれば大丈夫のはずです。

> 
>   もし、"%" コード部分が判らないと判断出来ない場合は、当ML のオーナーの
> 方にだけは、提示したいと思います。
>   また、こういったクラッキングに対して、法規的には、どう対処出来るので
> しょう。あくまでも、被害届けが無いと動けないのでしょうか？
> 
たぶん法的な対応は今のところ出来ないでしょうね。警察に届けることは出来ま
すが。
このパケットがDoSを起こしているのであれば威力業務妨害等で被害届は出せる
と思いますが...

--
株式会社アイ・ソリューションズ
代表取締役　
　　　谷　口　　星　彦
〒532-0004　大阪府大阪市淀川区西宮原２丁目６−１６
　　　　　　　　　新大阪コーポビアネーズ５１５号
TEL:06-6397-0688 Fax:06-6397-2948
mail: taniguchi@xxxxxxxxxxxxxx

日本セキュリティ情報流通協議会 理事
http://www.siss.jp/


--[PR]------------------------------------------------------------------
　　　▼ 洗顔であなたは 肌の“きれい”を落としている
　　　　▼ 今の洗顔を変えないと、美肌は育たない！
　　　　　▼ 美肌が育つか、試してみよう
　　　　　　▼ １０００円で３ヶ月以上試せるチャン
　　　　　　　▼ http://ad.freeml.com/cgi-bin/ad.cgi?id=c3uMt
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp