[connect24h:6985] Re: このクラッキングパターンでＩＩＳのクラッキングは可能でしょうか？

[hama <hamamoto@xxxxxxxxxxx>]

はまもとです。

>   石川です。
> taniguchi wrote:
> > たぶんUNICODEダブルバイトイベイジョン（Unicode DobleByte evasion）と判断
> > されますのでMS01-026修正モジュールがあったっていれば大丈夫のはずです。
> 
>   谷口さん、有難うございます。大変参考になりました。
>   それと、「MS01-026修正モジュール」の入手方法を教えて頂けますでしょう
> か、たぶん必要になると思いますので。

MSのサイトで検索すればすぐに出てきます。
http://support.microsoft.com/default.aspx?scid=kb;ja;299872
googleで「MS01-026修正モジュール」と検索しても、色々と出てきます。
上記URL

>   しかし、今回、本腰を入れて、調べてみました。
>   /scripts 領域を 実行プログラム可能にして置くと、そこに置いた cmd.exe
> が使用できました。以前は、実行プログラム可能にしてなかったので、なにも動
> かなかったのだと判りました。(IIS は、以前WinNT4.0+IISv4.0 を少し使用した
> だけです)

この仕様はSP4だかSP6だかに変わったはずです。
前は実行権限があった関係でcmd.exeが動いたわけですね。

>   そこで、いろいろクラッキングパターンを試したところ、UNICODEダブルバイ
> トイベイジョンを使用したもので、ディレクトリーを表示出来るパターンがある
> ことが判りました。ハードディスクのルートも見ることができます。
>   cmd.exe が使えると言うことは、クラッキング可能と言うことです。

実際には、書き込み権限がないとできませんので、そのままだとディレクトリを
見るくらいですね。まぁ、2段くらい、色々と作業すれば、足場を築くくらいは
出来ます。

>   /scripts 領域にある root.exe は cmd.exe の名前を変えたものでしょう。一
> 見関係ない実行ファイルがあるように偽装しておくのでしょう。上の「MS01-026
> 修正モジュール」が施されても、後から侵入可能にしてあるのだと思います。

これは、nimdaが勝手に作ったファイルですね。ですから、過去にnimdaに感染して
ファイルがそのまま残った後、SPをあてたことでroot.exeが動かなくなって
攻撃を受けても、問題なくなっただけだと思います。

>   先日の土曜日にヤフーに最近のクラッキングの状況を報告しました。ちなみに
> 昨日は無かったのですが、今日は２回、クラッキングを観測しています。

ただのnimdaか、coderedだと思いますので、クラッキングといえるほどのものでも
ないですね。

>   このテスト結果から、たぶん被害者はいると思います。ただ、本人はそのこと
> に、気づいていない。

多分、相手も感染していることに気がついて以内だと思います。

>   やはり、ヤフーからユーザーに状況を確認してもらうようにメールを出しても
> らうのがベストのように思います。

YahooBBって、こういう問い合わせに対して、ちゃんと動いてくれるんですかね？
そちらのほうが気になりますが・・・


+---------------------------------------------------------------------
| はまもと
| ■ハニーポッターの部屋
| http://d.hatena.ne.jp/connect24h/
| ■24 時間常時接続メーリングリスト開催中
| http://cn24h.hawkeye.ac/connect24h.html
| ■セカンダリDNS互助会
| http://cn24h.hawkeye.ac/dns.html 


--[PR]------------------------------------------------------------------
■Ｇ■Ｇ┃Ａ┃Ｂ┃Ａ┃マ┃ン┃ツ┃ー┃マ┃ン┃英┃会┃話┃
■Ａ■━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
■Ｂ■　無料でネイティブ講師とのマンツーマンレッスンを体験しよう！
■Ａ■　今ならGABAオリジナルのフレーズブック＆CDをプレゼント！！
詳しくはこちら→ http://ad.freeml.com/cgi-bin/ad.cgi?id=c3PKI
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp