【MS】IIS5.1 Malformed HTTP Request

■概要

IIS5.1に対するサービス妨害(DoS) 出展：http://isc.sans.org/diary.php

ソースコードは複数のサイトから分配されています。効果はinetinfo.exeの過程を止めることです。

■対象バージョン
IIS5.1はWindowsXPプロフェッショナルと共に来ますが、デフォルトで幸い有効にされません。ほとんどの専門家が、サーバでWindows XPを使用するのを避けようとしさえするなら、ある他のソフトウェアインストールは、それを可能にするためにそれが名案であったと決めたかもしれません。

現在、Windows2000と2003で(まだ)IISを疑っていない指摘が全くありません。

■対策
IISの最新のバージョンにアップグレードすることです。

■Snort検知シグネチャ例：
alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (sid:2005121901; rev:1;
msg:"[ISC] FrSIRT ADV-2005-2963 IIS 5.1 DoS";
flow:established;
uricontent: "/|2e|dll/|2a|/|7e|0";
content: "POST "; offset: 0; depth: 5;
reference:url,www.frsirt.com/english/advisories/2005/2963;
classtype:denial-of-service;)

■実証コード

C:\C>IIS5.1dos.exe 192.168.37.180

Microsoft IIS 5.1 Remote D.o.S Exploit by Kozan
Bug Discovered by: Inge Henriksen
Exploit Coded by: Kozan
Credits to ATmaCA, Inge Henriksen
www.spyinstructors.com - kozan@spyinstructors.com

Please wait while connecting...
Connected.

Please wait while sending DoS request headers...

Sending 1. request...
1. request sent.

Sending 2. request...
2. request sent.

Sending 3. request...
3. request sent.

Sending 4. request...
4. request sent.

Operation completed...

C:\C>

■Proventia(IDS)

2005-12-23 23:35:22 JST	HTTP_Server_ID	1	Unknown impact (no correlation)	Low	192.168.221.11	192.168.221.180	iss-sp2	Target Port	80		1148	192.168.221.11	http	80	192.168.221.180	3000001	192.168.221.11	Microsoft-IIS/5.0	192.168.221.180	1148	6	80	1148
2005-12-23 23:35:22 JST	HTTP_Post	1	Unknown impact (no correlation)	Low	192.168.221.11	192.168.221.180	iss-sp2	Target Port	80		1148	192.168.221.11		80	192.168.221.180	3000003	192.168.221.180		192.168.221.11	1148	6	1148	80	/_vti_bin/.dll/*/~0	192.168.221.180	http

■Snort(IDS)※デフォルトシグネチャの場合

[**] [1:1288:8] WEB-FRONTPAGE /_vti_bin/ access [**]
[Classification: access to a potentially vulnerable web application] [Priority: 2]
12/23-23:31:28.382127 192.168.221.106:37609 -> 192.168.37.180:80
TCP TTL:127 TOS:0x0 ID:24837 IpLen:20 DgmLen:167 DF
***AP*** Seq: 0x28EEFB56 Ack: 0xE49F981E Win: 0x4470 TcpLen: 20
[Xref => http://cgi.nessus.org/plugins/dump.php3?id=11032 ]

[**] [1:1288:8] WEB-FRONTPAGE /_vti_bin/ access [**]
[Classification: access to a potentially vulnerable web application] [Priority: 2]
12/23-23:31:28.382199 192.168.221.106:37609 -> 192.168.37.180:80
TCP TTL:127 TOS:0x0 ID:24838 IpLen:20 DgmLen:421 DF
***AP**F Seq: 0x28EEFBD5 Ack: 0xE49F981E Win: 0x4470 TcpLen: 20
[Xref => http://cgi.nessus.org/plugins/dump.php3?id=11032 ]

[**] [111:2:1] (spp_stream4) possible EVASIVE RST detection [**]
12/23-23:31:28.419182 192.168.221.106:37609 -> 192.168.37.180:80
TCP TTL:127 TOS:0x0 ID:24842 IpLen:20 DgmLen:40 DF
*****R** Seq: 0x28EEFD53 Ack: 0xE49F981E Win: 0x0 TcpLen: 20