【セキュリティホール】情報交換【バグフィックス】
>>82 HTTP 200 OKはヤバくないか? というか何でApache使ってるのにdefault.idaへのリクエストが200 OKになるのか 考えよう。 とりあえず200を出したリクエストと404のリクエストを比べてみよう。 というか、ワームを発射したヤシが送ってきたリクエストヘッダ見にゃ解らんと思うが。 漏れは今まで(今も)200になった事はないぞ。404と400だけ。 >>95 うちの場合 host ヘッダ無しのアクセスを転送してるせいで 200 は存在しないな... 全部 302 そう言うの以外でも 200 になる場合が本当にあるのかどうか興味あるね >>69 一応マジレスする。 知っとけYO、それくらい!w 2003.3.8 Postfix Version 2.0.5, 2.0.6 が続けてリリースされています。 2.0.6 では sendmail のヘッダ処理に関するセキュリティホールへの対策が含まれているので、 特にゲートウェイで Postfix を使っている場合にはアップデートをお勧めします。 1.1.12, 20010228-pl08 に対する同様のパッチも出ています。 >>100 これってすげーまぎらわしいんだけどさ、 sendmail の穴を攻撃するメールヘッダを書き換えて中継するだけで、 別に postfix に穴があったわけじゃないんだよな。 メッセージを書き換えないのをポリシーとしている qmail から見れば邪道もいいとこ。 postfix 使いのわしとしても、設定で動作を変更できないのはどうかと思う。 >>84 >>95 原因が掴めたかもしれない。 黒氷が検知出来たパケット中のリクエストが200に成ってるみたいだわ。 っで試しに昨日(14日)一日中黒氷を停止させて様子してた、結果の推測ではあるけどね。 今日はまた黒氷を開始させて様子見してみまつ。 #当方環境 OS:Win2K Pro PFW:BlackICE Defender 2.9canJ+Kerio 気になってた、200と404のリクエストヘッダだけど EtherealのFollow TCP Streamで見る限り、相違点は見つからなかったよ。 >>102 ってゆーか、うち Debian(Linux)+apache のログで、CodeRed が 200 なんですけど... 黒氷なんて使えないし。 >>102 サンクス!! 漏れの所に(F)が来ていないだけのような気がしてきた。 なんか以前のモノと比べ(F)の方はストリングが数バイト多いらしい。 実は漏れ、面倒なんで調べていない、正直スンマソン。 >>106 M$製品のセキュリティホールなんて見飽きたよ。もういい。 「今朝も夜が明けました」と同じくらい当たり前のことなんだからさ。 >>107 Linux, SUN とかの方も結構あるよ。 >M$製品のセキュリティホールなんて見飽きたよ。もういい。 >「今朝も夜が明けました」と同じくらい当たり前のことなんだからさ。 ってゆーか、そんな事言ってて 107 はセキュリティ大丈夫か? ちゃんとセキュリティ情報チェックしてるか? こういうヤツに限って「自分は大丈夫だ」とか思ってるんだよなぁ。 お間抜けなこと言ってないで、お前も情報流せや。 ここ一ヶ月のセキュリティ関連情報(詳細はこちらを参照) ttp://www.jpcert.or.jp/wr/ <<< JPCERT/CC Alert 2003-03-18 >>> Microsoft IIS 5.0 の脆弱性に関する注意喚起 JPCERT/CC が 3/2(日) から 3/8(土) の間に得たセキュリティ関連情報 [1] CERT Advisory CA-2003-07 Remote Buffer Overflow in Sendmail [2] CIAC Bulletin N-049 Snort RPC Preprocessing Vulnerability [3] CIAC Bulletin N-050 Sun sendmail(1M) ".forward" Constructs Vulnerability [4] Macromedia Product Security Bulletin MPSB03-03 Security Patch for Macromedia Flash Player [5] CIAC Bulletin N-051 Red Hat Updated OpenSSL Packages Fix Timing Attack JPCERT/CC が 2/23(日) から 3/1(土) の間に得たセキュリティ関連情報 [1] OpenSSL の脆弱性に関する追加情報 JPCERT/CC が 2/16(日) から 2/22(土) の間に得たセキュリティ関連情報 [1] CERT Advisory CA-2003-05 Multiple Vulnerabilities in Oracle Servers [2] CERT Advisory CA-2003-06 Multiple vulnerabilities in implementations of the Session Initiation Protocol (SIP) [3] OpenSSL Security Advisory [19 February 2003] Timing-based attacks on SSL/TLS with CBC encryption JPCERT/CC が 2/9(日) から 2/15(土) の間に得たセキュリティ関連情報 [1] CIAC Bulletin N-044 Red Hat Updated kernel-utils Packages Fix setuid Vulnerability [2] CIAC Bulletin N-045 Red Hat Updated PAM packages fix bug in pam_xauth Module JPCERT/CC が 2/2(日) から 2/8(土) の間に得たセキュリティ関連情報 [1] JPCERT/CC Vendor Status Notes 試験運用開始 [2] CIAC Bulletin N-038 Microsoft Cumulative Patch for Internet Explorer [3] CIAC Bulletin N-040 Red Hat Xpdf Packages Vulnerability [4] CIAC Bulletin N-039 Microsoft Unchecked Buffer in Windows Redirector Vulnerability [5] CIAC Bulletin N-042 Updated PHP packages available [6] CIAC Bulletin N-043 Red Hat openldap Vulnerabilities [7] CIAC Bulletin N-041 Sun Linux Vulnerabilities in "unzip" and GNU "tar" Commands [8] CIAC Bulletin N-037 Multiple Vulnerabilities in Old Releases of MIT Kerberos [9] CIAC Bulletin N-036 Updated Kerberos Packages Fix Vulnerability in ftp Client JPCERT/CC が 1/26(日) から 2/1(土) の間に得たセキュリティ関連情報 [1] MS-SQL Server Worm (SQL Slammer) に関する追加情報 [2] CVS サーバの脆弱性に関する追加情報 108さん、どうしたの? なんか意地になってるね。 しかしまぁ、あなたはよく知っておられますね。 いや、敬服いたしましたです。 たくさんコピペしたら自分がいかに知ってるっぽく見えるとでも思ってんでしょ。 ちなみに私はiptablesで余計なパケットは全部どぶに捨ててますし、 ブラウザやメーラの設定にも留意していますよ。 脆弱性に関するアナウンスにも目を通していますし、 セキュリティフィックスも即座に当ててますよ。 大抵はアナウンスを知るより早くセキュリティフィックスを当ててますけどね。 >>112 そういう人がこのスレにくる必要があるんだw 矛盾していることに気づけ。 >>101 さんくす よく理解せずに2.0.6にしてたよ。 >>108 >>112 もちつけ /\⌒ヽペタン / /⌒)ノ ペタン ∋oノハヽo \ ((@ノハ@ (; ´D`))' ))(;‘ д‘) / ⌒ノ ( ⌒ヽ⊂⌒ヽ .( ノ ) ̄ ̄ ̄()__ ) )_)_) (;;;;;;;;;;;;;;;;;;;)(_( >>101 なるほど・・・qmailな漏れは関係ないなと思ってたけど、そういう意味だったんだ。 だからゲートウェイなわけか。>>114 と共に漏れからもセンクス Windows2000において重大なバグフィックスが発見された。 セキュリティーホールが空いており、 サーバーが乗っ取られる可能性がある。 なおWindows 2000サーバに搭載されたIIS 5.0にのみ影響。 2000でサーバーにしてる奴は全部だろ うちは、これで落ちてたかと・・・笑 あきらめてXP入れたのに今頃発覚かよ! 最近また 445 のスキャンが多いなぁ。と思ってたら... Windows ファイル共有を悪用したワームの流布 ttp://jvn.doi.ics.keio.ac.jp/vn/JVNCA-2003-08.html 445/tcp へのスキャンが増えています。このスキャンは Microsoft Windows 2000 および XP を対象とした攻撃用ツールによる「攻撃の試み」である可能 性が指摘されています。 だとさ。 1 名前:ゆかりんφ ★[sage] 投稿日:03/03/19 06:21 ID:??? マイクロソフトは18日、コンピューター向け基本ソフト(OS)「ウィンドウズ2000」の一部に 緊急な対応を要する欠陥が見つかった、と発表。 修正プログラムをインターネット経由で無償公開し、顧客企業などに直ちに適用するよう呼び掛けた。 同社によると、欠陥を放置した場合、攻撃者が攻撃対象コンピューターを停止させたり 任意のプログラムを実行するなど、事実上乗っ取ることが可能。 欠陥の中でも最大深刻度の「緊急」と位置付けている。 欠陥は、サーバー向けのウィンドウズ2000サーバーと、同アドバンストサーバーに搭載された 「インターネット・インフォメーション・サーバー」(IIS)と呼ばれるプログラムにある。 このほか、パソコン向けウィンドウズ2000でパソコンをウェブサーバー代わりに使用している場合も 欠陥を悪用される可能性があるという。 記事の引用元:http://www.kahoku.co.jp/news/2003/03/2003031801000485.htm (´-`).。oO(この前はMeでしたよね…) 俺の頭にもセキュリティホールがあったから パッチ当てといた・・・ >>122 緊急というわりにはWindowsUpdateにはないな・・・ >>118 >>122 同じこと何度も書くなよ。 (>>118 >>122 )= >>106 です。 >>128 WindowsUpdate と一緒にここも定期的にみた方がいいよ。 ・MS TechNet セキュリティ情報一覧 ttp://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security ttp://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/current.asp?mscomtb=ms_support|セキュリティ情報 >>129 ちがう。 >>106 =115,123だから。 >>128 WindowsUpdateにはMS03-007 英語版は出てるけどね… 対象 (Vine Linuxバージョン): 2.5/{i386,ppc[未],alpha[未]} 2.6/{i386,ppc[未],alpha[未]} 内容: vsnprintf の実装に含まれるバグによる、qpopper の不正利用ができる問題が発見されました。 現在分かっている攻撃方法では、有効なユーザアカウントとパスワードが必要とされ pop_msg() 関数の文字列をオーバーフローさせることでユーザに "mail" グループ権限とシステムのシェルをユーザに与えることができます。 米軍サーバー、MicrosoftIIS 5.0の脆弱性公開前に攻撃される ttp://internet.watch.impress.co.jp/www/article/2003/0319/iis.htm ttp://www.trusecure.com/corporate/press/2003/iisexploit031803.shtml >>130 >>>106 =115,123だから。 いや、書込んだ人のことじゃないです。 (とゆうか、そんなことは、どーでもよい。) 書込んだ内容のことです。 同じ内容書くなってこと。しかもあいまいな事。 (説明不足でスマン) >>122 も >>118 も、あいまいな情報になってるので、 結局自分で、詳しく調べなきゃならなくなる。 記事の引用元だって、大した事書いてあるわけじゃないしね。 >>122 も >>118 も、前の書込み(>>106 )読んでないのか? 読んでも「あぁ、この件はもう書いてあるな」とか分からないのか? そもそも詳細を自分で調べないのか? なんかこういうヤシがあぶなそうだが、自分のパソ大丈夫か? 最近のウイルスやワームとか自分のパソだけじゃなくて周りに迷惑 かけるし、クラックされて踏み台にされたら、それこそ、ヘタして 企業から損害賠償されるとも限らないわけで... で、結局 >>119 >>123 に禿同(藁 そういえば、こういった脆弱性情報が公開されてから、 関連ポートのスキャンや、鯖への不正アクセスが増えたり することありませんか? さっき、うちのWebDAV鯖(IIS5.0:MS03-007パッチ対応済) にも不正アクセスがあったけど。 うちも日々チェック&勉強ですね。みんながんがろー。 提灯記事キタ━━━(゚∀゚)━━━ !!!!! 責められるべきはMSだけだろうか? ttp://www.atmarkit.co.jp/fsecurity/column/sudoh/10.html >>134 読んだ。イタいね。たしかに責められるべきはMSだけではない。 それは事実だが、だからといって責任が回避されるわけではない。 MS のセキュリティ問題の情報開示の姿勢は他に比べてもたしかに悪くないが、 一般に MS が責められてるのはそんな点ではない。そこを弁護しても的はずれ。 MS 製品にクリティカルな穴が多過ぎるという根本的な質の悪さが 問題にされていることをこいつはわかってない。セキュリティホールを 生み出しているのは、機能を優先して安全を軽視する思想と、出荷する前に 内部で穴を発見できないチェック体制の不備。MS が責められているのはそこ。 つーか、セキュリティ問題について、「他と比較して悪くない」という 主旨の記事を書こうという発想自体がどうかしてる。比較は無意味。 穴があるのなら、それは他と比べるまでもなく悪いものなんだから。 $ sudo rm -f sudo-rik.bakぁ ここってセキュリティ関連情報が出たら 誰かが教えてくれるスレかと思ってた。 違うのね。。。。。 >>135 >穴があるのなら、それは他と比べるまでもなく悪いものなんだから。 激同。 その点では、WindowsもUNIX系も同じだと思われ。 それと、一般ユーザは、あまりセキュリティ情報が目につかないんじゃ ないのかなぁ? 確かに、WindowsUpdate や セキュリティ情報ページはあるけど、その 存在や操作方法、その必要性を知らない人も多いのでは? 実際、コードレッドやニムダの送り元見ると、結構ダイヤルアップ接続 やケーブルの人が居るしね。(それも.jpだったりして) 自分でサイト立ち上げてる人や鯖管やってる人なら、結構気にすると思う けど、普通?の人は、実際どうなんでしょうね? つまり、もっとユーザ側の意識改革も必要なんだろうな。 どのように情報を広めたらいいかと言ったら難しいと思うけど。 中学校で「情報基礎」の授業があるから、そういったところから徹底して もらうのがいいのかなぁ? 「ウイルスにかかるとこうなるんだぞ」とか実際に実習してみたりして。 ところで、UNIX/Linux/BSDとか使ってる人は、やっぱりセキュリティを 気にする人が多いのでしょうか? (一部つけ足し) >>135 >穴があるのなら、それは他と比べるまでもなく悪いものなんだから。 激同。 その点では、WindowsもUNIX系も同じだと思われ。 (つまり比較する意味がない) >>138 えーっとね、 >>131 みたいにセキュリティホールが見つかったら 誰かがカキコしてくれるスレかと思った。 サンRPC XDRライブラリー・ルーチンでの整数オーバーフローの問題 http://www.cert.org/advisories/CA-2003-10.html サン・マイクロシステムズによって提供される XDRライブラリーのxdrmem_getbytes()機能は、 不適当に分類されたダイナミック・メモリー割付けに結びつくことができる 整数オーバーフローを含んでいます。 脆弱なxdrmem_getbytes()機能が使用される場合、 バッファー・オーバーフローのような後の問題は生じる可能性があるかも… #「Integer overflow」を「整数オーバーフロー」 って訳しちゃったけど、間違いかな? >>142 Windows スクリプト エンジンの問題により、コードが実行される (814078) (MS03-008) ttp://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/ms03-008.asp 最大深刻度 : 緊急 推奨する対応策 : お客様は、直ちにこの修正プログラムをインストールしてください。 影響を受けるソフトウェア : Microsoft Windows 98 Microsoft Windows 98 Second Edition Microsoft Windows Me Microsoft Windows NT 4.0 Microsoft Windows NT 4.0 Terminal Server Edition Microsoft Windows 2000 Microsoft Windows XP >>144 95, 3.1, DOS は大丈夫なの?(藁 まだ使ってる人いる? 95 と DOS あたりはいるかも知れないなぁ。 >>146 サポート対象外のWindows 95などについては,影響を受けるかどうか分からないとしている。 ttp://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20030320/1/ MSのパッチでシステムがフリーズ パッチのリリースを急いだためかWindows 2000とWebサーバソフトの脆弱性解消のため リリースされたパッチに問題点が発覚。Microsoftはアドバイザリを更新 ttp://www.zdnet.co.jp/news/0303/21/nebt_16.html >>148 Windows 2000 Service Pack 3をインストールしたコンピュータには 問題はないらしい。 ∧_∧∩ / ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ̄ ( ´∀`)/<先生!こんなのがありました! _ / / / \___________ \⊂ノ ̄ ̄ ̄ ̄\ ||\ \ ||\|| ̄ ̄ ̄ ̄ ̄|| || || ̄ ̄ ̄ ̄ ̄|| http://saitama.gasuki.com/hiroyuki/ 〜全てのWindows 2000ユーザーは対策パッチの導入が必要 WebDAVに関する脆弱性はIISを起動していないWindows 2000にも影響 ttp://internet.watch.impress.co.jp/www/article/2003/0326/iis.htm Sendmailにスタック・オーバーフローの脆弱性 http://www.sendmail.org/8.12.9.html http://www.cert.org/advisories/CA-2003-12.html prescan() 関数に問題があり、アドレス解析時sendmailの中で コード化する際に十分に電子メールアドレスの長さをチェックしない為。 巧妙に作られたアドレスを備えた電子メールメッセージによって スタック・オーバーフローを引き起こすことが出来る。 今回の脆弱性が有るとされるSendmailのVerは ・Sendmail Pro (all versions) ・Sendmail Switch 2.1 prior to 2.1.6 ・Sendmail Switch 2.2 prior to 2.2.6 ・Sendmail Switch 3.0 prior to 3.0.4 ・Sendmail for NT 2.X prior to 2.6.3 ・Sendmail for NT 3.0 prior to 3.0.4 ・Systems running open-source sendmail versions prior to 8.12.9, including UNIX and Linux systems 非常に広い、パッチを適用するか、アップグレードするべし。 えー、またSendmailぅ。 そういえば、こないだのSendmailの脆弱性とは別物みたいですね。 > ※ この問題は、3月初旬に公開された sendmail の脆弱性とは別のものであ > ることに注意してください。 > > sendmail にバッファオーバーフローの脆弱性が発見されました。結果とし >て、遠隔から第三者が root 権限を取得する可能性があります。 > > この問題は、sendmail が電子メールアドレスを処理する際に発生します。 >したがって、内部ネットワークに設置したホスト上で稼動している sendmail >であっても、外部から中継されたメッセージを受け取ることによって、問題が >発生する可能性があります。 やっぱりSendmail使い多いのかなぁ? (ちなみにうちは、Postfix) >>107 どうよ。 age http://www.st.ryukoku.ac.jp/ ~kjm/security/memo/#20030417_MS03-013 >>153 ISPサポートで法人担当してますが、 殆どsendmailですね。Postfixは皆無、 稀にqmailがあるかな、という感じです。 Postfixの方が穴が少ない印象がありますが、 単にシェアが相対的に低いから、攻撃対象として 敬遠されているだけなんでしょうか? >>161 両方やん? 窓が攻撃されやすいのと一緒 すみません、linuxでサーバを立てようとしているのですが アプリケーション個別のログ(apacheやftp)では無く tcp/ip全体に対するログって取れるのですか? ━―━―━―━―━―━―━―━―━[JR山崎駅(^^)]━―━―━―━―━―━―━―━―━― ∧_∧ ピュ.ー ( ^^ ) <これからも僕を応援して下さいね(^^)。 =〔~∪ ̄ ̄〕 = ◎――◎ 山崎渉 >>170 それアタックツールっぽいけど、 元のIPにアクセスしたら中国のIISのサーバーだったんだよね。 IISが感染するとかあるのかな? それに俺のとこにもきたけど俺のとこアタックされるほどアクセス多くないし >>172 下の方の翻訳に >自動的に増えたのうえに長距離の図形を伝えたのは裏門の機能を支配する ってあるからワームにもなるっぽい Samba 2.2.8a日本語版リリース1.0 がリリースされました。(2003/05/27) って、かなり前だった http://internet.watch.impress.co.jp/www/article/2003/0710/ms.htm バッファオーバーランに対する脆弱性っていうものは、窓OS以外では発生しないのでしょうか? もし発生しても他のOS、カーネルでは脆弱性とならないのであるならば、 窓OS自体が、、、かと思いまして。 >>176 人が書いたコードである以上、穴はどこかにある。 「WindowsじゃないからBORが起こらない」というのは ちょっとおかしい話だと思う。 実際 Windows 以外でもいっぱい見つかってるし。 >>179 だな でも、だからといって Windowsと他のOSの危険度が同じと言う話でもなくて… 頻度、対応等々を含めて総合的に判断しなきゃいけないよなぁ そういう所がMS はちょっとアレとか言われる所以で ttp://japan.cnet.com/news/ent/story/0,2000047623,20059757,00.htm こんな話もあるしなぁ たぶん、Cでソース書くからじゃないかな。 バッファオーバーフローをランタイムライブラリで阻止するのが デフォルトな処理系を使って書いてれば(DelphiとかC#とか) 危険なバグの出る確率はぐっと減ると思う 最近ポート445にアタックするサイトがすごく多いけど 何か、穴でもあるの? >183 毛穴は除外するにしても、何か(穴2個所)を忘れてる余寒。 >>184 おそらくは>>183 は人間ではないと思われ 合ってんじゃねーのかいの? 男は「鼻の穴が2つ」「口」「尿道口」「肛門」の計5個 女は「鼻の穴が2つ」「口」「尿道口」「膣口」「肛門」の計6個 ほかに有ったか?w おっと!あれだな、耳の穴だな。忘れてたワイ。 誰かに突っ込まれる前でよかたよ。 >>186 >>188 おまえにはもう2個あるだろ! 「ふしあな」という穴が __∧_∧_ |( ^^ )| <寝るぽ(^^) |\⌒⌒⌒\ \ |⌒⌒⌒~| 山崎渉 ~ ̄ ̄ ̄ ̄ そういや昨日だっけ?Apache1.3.28リリースは。 >>193 確かそれくらい(w 漏れは今日slashdot見て知った…個人的には先週インスコしたばっかなのに鬱。 まさか1.3.xがバージョンうpするとは思わなんだ。 つかFixだもんね。ADDじゃないもんね。 どうせ、httpd.confの書き方変わってたりするんだろ〜 書き直すの面倒くせー apache2.xが1.xより優位な点教えてよ。 乗り換える理由にするから。 >>202 自分で調べ自分で判断しろ。 まさか仕事もそうやって進めているんじゃないだろうな? >>202 優位な点:新しいものを使っているという間違った優越感(w ∧_∧ ∧_∧ ピュ.ー ( ・3・) ( ^^ ) <これからも僕たちを応援して下さいね(^^)。 =〔~∪ ̄ ̄ ̄∪ ̄ ̄〕 = ◎――――――◎ 山崎渉&ぼるじょあ >>206 本7みたいなこと云うとるし。 >>207 と >>208 の違いって判ってるんだろうか? Postfix1.1.xに脆弱性 ttp://www.zdnet.co.jp/enterprise/0308/06/epn17.html ☆★ 新商品 ゾク・ゾク 入荷!! 急げ〜!! ☆★☆ ★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★ ☆★ 送料激安! スピード発送! 商品豊富! ★☆ http://www.get-dvd.com ☆★ 激安DVDショップ 「GETDVDドットコム」 ★☆ http://www.get-dvd.com ☆★ 今すぐアクセス Let’s Go! 急げ! ★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★ GNUのFTPサーバが3月〜7月末まで乗っ取られ ttp://ftp.gnu.org/MISSING-FILES.README (⌒V⌒) │ ^ ^ │<これからも僕を応援して下さいね(^^)。 ⊂| |つ (_)(_) 山崎パン ある意味セキュリティホールだよな…>>219 の存在 apacheのログ見たら、昨日(18日)から "GET / HTTP/1.1"が異様に多く来てる。ま、異様っても2〜3分に1回くらいなんだけど。 ちなみにウチのは閑古鳥の鳴く掲示板が一つ動いてるだけで、ドキュメントルートは空っぽ。 発信元IPはバラバラ。送ってくるUser-Agent情報は全て同一で、MSIE5.5 on Win98。パケットも見てみたけどサイズは普通。Hostはドメイン名でなくIPアドレスの直接指定。 サーバ情報の取得用かなとも思う。 世間で何か起こってるの? >>222 MSBLASTERとは別物だったんか…? >>224 BLASTERと同系といえば同系だが… BLASTERはM$以外の80番PORTにはアクセスしないはず なんか情報が錯綜してて何がなんだかってのはちょっとある トレンドマイクロは亜種という位置付けだな セキュリティホールmemoよりコピペ とくちょう: 攻撃前に ping し、反応があったホストを攻撃。 snort だと "ICMP PING CyberKit 2.2 Windows" として検出する。 10240 バイトの dllhost.exe ファイルと 19728 バイトの svchost.exe を使う。後者は tftp サーバ。 MS03-026 穴と MS03-007 穴を狙う。 MS03-026 patch (Microsoft 謹製の本物) をダウンロードしインストールする。 ただし英語・中国語・韓国語版 patch にしか対応しておらず、日本語版 patch はダウンロードされない。 MS03-007 patch はインストールしない。 4444/tcp ではなく 666〜765/tcp を使う。 Blaster ワームを削除する。 2004 年になると自己破壊する。 目標のさがし方がかしこい。MSRPC DCOM ワーム「MS Blast」の蔓延 (ISSKK) より: >>225 セキュリティホールmemoはキラいなんで、ISSKK読んだけど、 BLASTERを駆除する「善意の」ワームってことになってるみたい。 でも、迷惑には変わらないんだよなぁ。 なるほど。MSblastを消去してpatchをダウンロードする亜種についての記事は読んでたけど、 80番にもアクセスしてくるのは知らなかった。ありがと。 >>227 >MSblastを消去してpatchをダウンロードする亜種についての記事は読んでた なんか、折れの無知を晒しただけなような気がする(w M$公式とかセキュリティホールmemoとかスラドとか除いて、 この辺りの情報が確実に集まってくるサイトって、他にどこがあるんでしょ? 一応、折れは@ITを見るようにはしてるけど、ここんとこ暇がなかった…。 >>228 そんだけ見てれば十分じゃろ あと2chのセキュ板が早い ものすごい数のサンプルと画像を集めてみました。モロ 動画系サンプル集、新たにアップ! こきすぎ注意 http://vs2.f-t-s.com/ ~moemoe/index.html ここ数日こんなのが5分に1回くらい世界からくるんだが、いったいなんなんだ? ぐぐったりウイルスメーカー見たがさっぱりわからん。誰かわかる人キボンヌ 3行目の宛先アドレスが127.0.0.1だし。 2003-08-26 07:23:35 63.138.193.58 - 192.168.2.209 80 GET /index.html - 200 484 191 210 HTTP/1.1 ***.***.***.*** Mozilla/4.0+(compatible;+MSIE+5.5;+Windows+98) - - 2003-08-26 07:23:35 63.138.193.58 - 192.168.2.209 80 SEARCH / - 411 233 44 0 HTTP/1.1 ***.***.***.*** - - - 2003-08-26 07:23:45 63.138.193.58 - 192.168.2.209 80 SEARCH /AAAAAAAAAAAAA(中略)NNNNNNNNNNNNNNN - 404 0 66301 281 HTTP/1.1 127.0.0.1 - - - もまいら、うちのアクセスログに "GET / HTTP/1.1" - "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" が大量に入ってますたが、ワームでも流行ってますかね? >>236 き、貴様、なぜそれを知っている!!(w 出たので貼り付けておく ttp://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/MS03-039.asp 新種かな? 一発目が 2003/09/11,21:01:27 JST get /scripts/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af/winnt/system32/cmd.exe?/c%20dir Nimdaの亜種か? >>243 それって悪名高いAsia Pacific Network Information Centreからの客? だね。 This IP address range is not registered in the ARIN database 漏れルーターで>>244 からのアクセス止めたいんだけど 「IPアドレス/マスク長」てな具合で設定するもんだから 訳わからん。 誰か>>244 のIPアドレス範囲を「IPアドレス/マスク長」で おすえてプリーズ。 >>247 APNIC⊃JPNIC じゃないの? だったらAPNICを蹴るんじゃなくて、JPNICを通す設定にする方が楽かと 資料として JPNICが逆引きの管理を行っているIPアドレス(2003年3月12日現在) ttp://www.nic.ad.jp/ja/dns/jp-addr-block.html を添付しておきます:D 今回の小文字getは大したことなさそうじゃん 放っておけばいんでない? >>247 国ごとの割り当てアドレスあるけど結構な量になる ttp://www.blackholes.us/ 皆さんありがとう。 まさかマジなレスが返ってくるとは思いませんですた。感謝。 >>248 ・・・そりでは漏れもアクセスできませぬ。 >>249 さすがです。漏れIQ低いんで気付きませんですた。 で、>>250 のURL見てみましたが、あれ以外は全て遮断すると 善良な海外のお客様までも巻添えに。。。 んで>>252 ご提示のURL見てあまりにも無謀な考えであった事を 悟り、諦めることにしますた。 特定の国からの客や特定ISPからの客を蹴るって、けっこう 難しいんですね。今まで通りされるがままで様子をみてみまつ。 >>244 >それって悪名高いAsia Pacific Network Information Centreからの客? APNICって悪名高かったのか……。不憫よのぉ。 ARIN(北米)、RIPE(ヨーロッパ)、APNIC(アジア太平洋)の3つはセットで覚えておけ。 # 最近になって中南米担当の LACNIC というのができたらしい。 >>249 厳密には、昔からインターネットを使ってる一部の大学とか企業やらは APNIC 設立以前に InterNIC から直接割り当てを受けているため、 JPNIC だけど APNIC じゃなかったりするけどね。 >>254 APNIC以前に関しては考えなかった なるほど 誰も突っ込まないから自分で >だったらAPNICを蹴るんじゃなくて、JPNICを通す設定にする方が楽かと 日本語変 >>253 APNIC以外を通す JPNICを通す 残りは遮断 とすれば被害は最小限? 海外からって来るのかとか、Y!BBは無視で良いや;PP とか色々有るけど 被害があってからでは遅すぎる。 ようは傾向と対策だ。 なんかもうこなくなっちゃったみたい。 おしまい? なんだったんだろう X-Force Research Discovers Remote Exploit [23/Sep/2003] X-Force Research at ISS has discovered a remote exploit in ProFTPD's handling of ASCII translations that an attacker, by downloading a carefully crafted file, can exploit and gain a root shell. The source distributions on ftp.proftpd.org have all been replaced with patched versions. All ProFTPD users are strongly urged to upgrade to one of the patched versions as soon as possible. The ProFTPD Project team would like to heartily thank the X-Force engineers for the responsible and professional way in which they reported the vulnerability, and worked with the ProFTPD Project team to address the issue. OpenSSLね。Dos攻撃あーんど任意コード実行の穴だったっけ? OpenSSL0.9.7cへアップグレードが推奨されとる。 VineLinuxのカーネルにセキュリティホールが見つかりますた。 ttp://www.vinelinux.org/ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ Kerio Personal Firewall 4 ・キンタマウイルス http://www.symantec.com/region/jp/sarcj/data/w/w32.antinny.k.html による被害を防げる (玄人向けで有料だがTiny5でも防げる。 Sygate・Zone Alarmには似たような機能があるが防げない。 Outpost・Kerio2・ノートン・バスター・マカフィー・ウイルスセキュリティに至っては類似機能もない) ・現時点では日本語化できない ・2バイト文字には対応していない ・Kerio2よりはわかりやすく、Zone AlarmのようにYES/NOだけでもいけるし kerio2のように詳細ルールも作れる ・SPIとIDS、トロイ対策のDLL監視機能もある(広告ブロックは有償版のみ) ・Outpostなみに軽い http://pc2.2ch.net/test/read.cgi/win/1077780039/233 ●「Firewallと森で遊ぼう」Kerio Personal Firewall 4解説サイト http://eazyfox.homelinux.org/Firewall/Kerio/Kerio41.htm ●Kerio Personal Firewall 4のログビューア http://www.geocities.jp/masagooooool/ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 901 名前:900[sage] 投稿日:04/04/02 22:14 アンチウイルスソフト検出力結果報告(・∀・) ANTIDOTE / avast! 4 / AVG / AntiVir / BitDefender / eTrust ◇ウイルス EBCVGにてBinary VirusesとVirus codesを合計722ファイル(重複あり) 全てzip圧縮に変換 Linux/Macウイルスあり ◇アンチウイルスソフト 4/2 18:00頃の最新パターン適用 比較対照としてトレンドマイクロオンラインスキャンを使用・・・したかったけど結果悪いのでBitDefenderを基準に ☆結果 (検出数/検出率) BitDefender (*1) 580 100.0% AVP (*2) 545 93.97% Trend Micro 539 92.93% Antidote (*3) 524 90.34% avast!4 (*4) 470 81.03% eTrust (*5) 444 76.55% AVG (*6) 212 36.55% *1 懐疑ファイル13含む *2 懐疑ファイル2含む *3 コード解析/圧縮ファイル/詳細検索にチェック。詳細検索にチェックを入れない場合は520。なお懐疑ファイルはどちらも3。 *4 迅速な検査=261 標準検査=286 完全な検査=470 *5 Heuristic有効。SafetyLevel → Reviewer ScanningEngine → InoculateIT *6 Heuristic有効。 AVGの検出率が悪すぎる。何かおかしい気が・・・(・∀・)? 【cool】BitDefender Free Edition【free】 http://pc3.2ch.net/test/read.cgi/sec/1029516867/901 802 名前:Bitスレ901[sage] 投稿日:04/04/04 19:02 BitDefender(以下BD)が全てのウイルスを検出したわけではないです。 BDが検出したウイルス数の580を100%として出した結果です。 要するにAVGだとBDの37%ということです。 誤解してる人がいるかもしれないので念のため。 ※AVGの検出は悪すぎたので"3回再インスト&4回検査”してます。 で、結果は全て同じ(゚д゚) 非圧縮時の検出率を知りたい人は適当にウイルス集めて試してください(´・ω・`) 【フリー】AVG Anti-Virus Version15 http://pc3.2ch.net/test/read.cgi/sec/1079833302/802 831 名前:名無しさん@お腹いっぱい。[sage] 投稿日:04/04/05 01:03 去年(031207)同じようにやった結果 定義ファイル、プログラムは当時最新 圧縮なんかの設定はebcvgから落としてきたまま(rar,zip,b64) ただしほとんどはzipだから誤差は少ないと思う Antidote (*1) 549 100.00% eTrust (*2) 537 97.81% BitDefender (*3) 502 91.44% avast!4 (*4) 484 88.16% AVG (*5) 366 66.67% *1 コード解析,圧縮ファイル,電子メール, 懐疑5 *2 設定が多いから略。たぶん最高 *3 圧縮プログラム 圧縮ファイル, メール, ヒューリスティック ただしvirus bodiesは584, 懐疑22 *4 圧縮ファイル *5 圧縮プログラム 圧縮ファイル, メール, ヒューリスティック (一応どれも設定は最高にしてやったつもり) >>731 と見比べると向こうはBitdefenderの検出数をvirus bodiesで 数えてるんじゃないかと思う。 おれはIdentified virusesが検出数だと思うから上はそっちを採用してる。 AVGの検出が悪いのはたぶん設定の問題。でも良くはない むしろ>>742 と同じような結果だから、AVGの検出力はこんなもんだと思ってる。 【フリー】AVG Anti-Virus Version15 http://pc3.2ch.net/test/read.cgi/sec/1079833302/831 このカキコ見たあなたは4日後に不幸がおとづれ44日後に死にます。それがイヤならコレをコピペして5ケ所にカキコして下さい。 私の友達はこれを信じず4日後に親が死にました。44日後友達は行方不明・・・・。 いまだに手がかりもなく私はこのコピペを5ケ所に貼り付けました。 すると7日後に彼氏ができ10日後に大嫌いな人が事故で入院しました。 信じる信じないは勝ってです。d 暇だから貼っとく。気にしないで。 ●.....●..●..●...●●..●●...●●..●●●....●●●●..●●.....●●●..●..● 無料のウイルス対策ソフトなどのセキュリティソフト一覧 http://www.geocities.co.jp/SiliconValley-Cupertino/2010/security.html ●.●.●.●..●...●●.●..●●.●●......●..●●...●●...●●●.....●.●...● おすえてくれ。漏れの鯖のシステムディレクトリ(c:\winnt)にシステム属性の services.exeがあるんだが、これワームかウィルスだよな。 検索したらネットスカイらしいんだが、消しても再起動すると復活しやがるんよ。 レジストリのRunやRunワンスやサービスなどは全て見てみたが自動実行を指定 している個所が無いのよ。 分かる香具師いてはる? このカキコ見たあなたは4日後に不幸がおとづれ44日後に死にます。それがイヤならコレをコピペして5ケ所にカキコして下さい。 私の友達はこれを信じず4年後に親が死にました(寿命)。231年後友達は行方不明・・・・(しんだ。 いまだに手がかりもなく私はこのコピペを324534ケ所に貼り付けました。 すると3日後に大嫌いな彼氏ができ3秒後に彼氏が事故で入院しました。 信汁 ttp://6416.teacup.com/spiritron/bbs >悪質なコンピューター・ウィルスに感染した。 >画面がブラックアウトし、何も表示できない状態になった。 >僕にどういう恨みがあるにせよ、これは犯罪行為だと思う。 >今、現在も必死で修復しているが、全く目処が立たない。 >>283 スーパーハカーの文章は凡人の私には理解出来ませんでしたwww >>283 ただ単にHDDが寿命でクラッシュしただけじゃないのか? あとあくまでもハカーの仕業にしたいのかw ウイルスなんて自分で実行しちゃうことが殆どなのに ttp://slashdot.jp/article.pl?sid=04/08/18/0257220 SHA-0、MD5、 MD4にコリジョン発見、reduced SHA-1も 価格comのIframe埋め込まれ問題のことなんですけど、 サーバーを運営している立場からすると、IISのセキュリティホールを突かれたから書き換えられた、ということでしょうか? それともweb更新用のFTPパスワードか何かを抜かれた? どのニュース見ても、クライアント側の対応はどうすればいいとしか書いて無くて web鯖を運営している立場からすると、早く情報が欲しいのですが、とりあえずapacheで運営してる場合、今回の影響は受けない? OS や IIS の穴じゃなくて、その上で動いているスクリプトの穴じゃないかと思う。 このへんの情報を明らかにしてくれないので想像でしかないが、たぶん。 構築しているOSを調べられるサイトがあるって聞いたのですが、ご存知の方がいたらURL教えてください。 >>291 ここのこと? ttp://news.netcraft.com/ >>292 それっぽいですね。 どうもありがとうございます。 これってDDNSでは、使っているOSが表示されないみたいですね(残念@@) うち(独自ドメインDDNS)とddo管轄のサイトやってみたけど、 両方表示されたけど? OS >>294 うちは、DNSサーバを建てていないのですが、namedを建てていますか? もし、良ければ建てているサーバの構成(使っているデーモン)とか教えていただけませんか? このHPが、どうやってOSを調べているのかわかりませんので。 サーバのセキュリティが良いかどうか確認お願いしまつ・・・ IP:219.113.225.172 OS:Linux 駄目だったら回線切って釣ってきまつ コテタン処理スレッド http://bubble5.2ch.net/test/read.cgi/mukashi/1172642983/51 (↓1024byteちょうど) gwdlbegwacud.Kisabisdlis.S.Vug.Tbeudgw.Sabgwudugabdldl.Tdlacgwabisacbeacudud.T.Sc,.K.K.Kbe.Vgwacgwc, c,ug.Yuguggw.Kc,c,ugacdlbe.S.Kdlgwabab.K.Yisbe.K.V.Vac.Kgw.Vbeab.S.Sgwc,.Vbeugdlc,gw.Kdl.S.Vuddlc,dl dlug.K.Tacabacisug.Sgwac.Vgwc,abdlug.Kab.Tabab.Y.Kc,acisgwacc,.S.Visabugdlc,acbeac.Tuddldldl.Sbe.Yac .V.K.Y.Ybeacdlc,ac.T.T.Sug.K.Ybe.Vac.Tacugisc,dl.Kdlgwugisudbegwug.K.Vgwudisugc,isudud.Tbedl.T.Tgwis .Kud.Yudugabdl.Ybebedl.Ygw.Kc,c,.Kbebe.V.Sis.Kabudug.Suddlabisug.Kisbegw.Sacisabud.K.Y.K.Ygwac.Kisis .Yisudisc,c,.Tc,bec,abdl.Y.S.Sc,c,ug.Y.Yis.T.Y.V.Yugisgwc,uddl.Sug.Tis.V.V.Vdl.K.Yc,.Tdlud.Vdl.Vab.V .Kbe.Sugbebe.Sud.Sbe.Y.Vc,.V.Sc,.Sc,abdl.Tabudc,.Y.Kdlisdl.Y.V.T.Vis.K.Tgwc,.V.K.Kis.Kisac.Tc,isabab isud.Tabbe.Vdlab.Yuggwbeisgw.Vdlac.Vbe.Tud.S.Sgw.Yc,.S.Vugug.T.Tc,begwabc,.S.S.Ygwab.Kugabud.Vbeabgw .Yabud.Tbeacgw.Y.Vug.Suddlc,acbebeac.Sgwdlgwc,ud.Y.S.V.Kacud.S.Sdl.Tab.V.Ydludac.K.Sbebebebe.Sudac.T c,.Vudac.Yacugdldl.Sdlug.Kc,ac.K.Tdlbedlc,uddludac.Yududisgwbegwugud.Vdldlgwc,.T.Tugacdlabugug.Kbe.S .Kc,be.Tud.Vacababacugac コテタン処理スレッド http://bubble5.2ch.net/test/read.cgi/mukashi/1172642983/5 (↓1024byteちょうど) ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンンン ンンンンンンンンンンンン コテタン処理スレッド http://bubble5.2ch.net/test/read.cgi/mukashi/1172642983/52 (↓1024byteちょうど) Yduddlug.Yc,.V.Tacgwdl.K.Kug.Ybeisis.Yudugug.S.Sisgwac.Tgwdl.K.Yugudisbeugbe.S.T.Kisugac.Vbe.Vbeud.S .Kc,.Sug.Kudud.K.Sis.Kud.Yug.T.Kacgw.Tbegwis.Sbeis.Tac.Kbeuddl.Tab.Kc,.Sacbec,.Sis.Y.Kc,.K.K.Vud.Tis acdldlud.K.S.Kis.Sugdlbegw.Tudud.Yc,.Tc,.Kbeac.S.Tab.Sbedlugisc,dl.K.Yc,gw.S.T.Kab.90240382gwbe.Sbea .V.K.Sab.Sdlugac.Tabisud.Ydlug.V.K.Tc,.Tbedlisdlgwgwis.Kurab.Y.T.S.V.Vdlac.Vc,dl.K.Tdlc,.Yugdl.S.V.V udc,.Tgwis.Yisbeab.Y.Tis.Y.Vacbeabab.T.Kisbeisugisgwgwudacabbe.Sisbeacc,dl.Vabug.Yacc,c,ab.Vbeisgwbe .Tgwud.V.Tudis.Tdl.Sacdl.Tdlug.Ydlbebe.Kc,udisugabdlug.Vacugdlab.Yug.Yugug.Sacugac.Y.S.K.Yc,.Kacugab .Visac.V.Vc,63633311717175172620858119036722383757912238297356801656833803027982789697689867244bec,. .Y.Tacgw.Ydlc,.K.Y.K.K.Vgwud.Tbeudbeug.Visgwgw.Y.Tacbeab.Yabisgwbe.Vbeabac.S.Kisc,.Kis.Ygw.T.Kc,.Ybe .Y.K.Tabgwugac.Sgwud.Sc,gwuduggwabgw.Vdlc,c,beugabc,.K.Tudgwisabdlc,gw.T.Yudac.Tgw.K.Sc,dl.Vacud.Y.S .Vgwgwisgwugacugud.Y.K.Y.T.Sdl.K.Tudbegwac.T.Kacac.Vbec,.Kbeacac.K.Vc,.Vud.Kugacabugbec,.V.Tacdldlac .T.Kis.S.Kbeac.Y.Vududu. 気になった記事があったので書き込み http://opentechpress.jp/security/08/01/28/0151238.shtml >Linux/Apache系Webサイトを狙った正体不明の攻撃についての現状 ∧_∧ ( ・∀・) | | ガッ と ) | | Y /ノ 人 / ) < >__Λ∩ _/し' //. V`Д´)/ ←>>160 (_フ彡 / えっちぃ絵をリクエストすると誰かが描いてくれるかもしれない素敵なスレ【R-18】 http://hayabusa.o p e n 2ch.net/test/read.cgi/news4vip/1423739321/ read.cgi ver 07.5.5 2024/06/08 Walang Kapalit ★ | Donguri System Team 5ちゃんねる