■データ
| Time | Tag Name | Source IP | Target IP | Object Name | Source Port | :URL |
| 2006-02-05 15:33:48 JST | HTTP_Cisco_IOS_Admin_Access | 221.220.133.212 | 192.168.221.180 | 80 | 2945 | /level/16/exec/-///pwd |
| 2006-02-06 21:44:06 JST | HTTP_Cisco_IOS_Admin_Access | 221.236.234.57 | 192.168.221.180 | 80 | 3533 | /level/16/exec/-///pwd |
■パケット詳細
No. Time Source Destination Protocol Info
14185 2006-02-06 00:33:04.158429 221.220.133.212 192.168.37.180 HTTP GET /level/16/exec/-///pwd HTTP/1.0
14185 2006-02-06 00:33:04.158429 221.220.133.212 192.168.37.180 HTTP GET /level/16/exec/-///pwd HTTP/1.0
Frame 14185 (104 bytes on wire, 104 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:52:2f:68
Internet Protocol, Src Addr: 221.220.133.212 (221.220.133.212), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2945 (2945), Dst Port: http (80), Seq: 1, Ack: 1, Len: 38
Hypertext Transfer Protocol
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:52:2f:68
Internet Protocol, Src Addr: 221.220.133.212 (221.220.133.212), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2945 (2945), Dst Port: http (80), Seq: 1, Ack: 1, Len: 38
Hypertext Transfer Protocol
0000 00 0c 29 52 2f 68 00 d0 c9 96 61 5d 08 00 45 00 ..)R/h....a]..E.
0010 00 5a bc 84 40 00 23 06 51 0c dd dc 85 d4 c0 a8 .Z..@.#.Q .......
0020 25 b4 0b 81 00 50 30 ed ee e4 6d ec 7f ec 80 18 %....P0...m.....
0030 fa 40 68 fe 00 00 01 01 08 0a 00 02 c0 72 00 00 .@h..........r ..
0040 00 00 47 45 54 20 2f 6c 65 76 65 6c 2f 31 36 2f ..GET /level/16/
0050 65 78 65 63 2f 2d 2f 2f 2f 70 77 64 20 20 48 54 exec/-///pwd HT
0060 54 50 2f 31 2e 30 0a 0a TP/1.0..
0010 00 5a bc 84 40 00 23 06 51 0c dd dc 85 d4 c0 a8 .Z..@.#.Q .......
0020 25 b4 0b 81 00 50 30 ed ee e4 6d ec 7f ec 80 18 %....P0...m.....
0030 fa 40 68 fe 00 00 01 01 08 0a 00 02 c0 72 00 00 .@h..........r ..
0040 00 00 47 45 54 20 2f 6c 65 76 65 6c 2f 31 36 2f ..GET /level/16/
0050 65 78 65 63 2f 2d 2f 2f 2f 70 77 64 20 20 48 54 exec/-///pwd HT
0060 54 50 2f 31 2e 30 0a 0a TP/1.0..
■SANS
Last Updated: 2006-02-07 17:55:43 UTC by Dan Goldberg (Version: 1)
最新アップデート：２００６-０２-０７ ダン・ゴールドバーグによっての１７：５５：４３の UTC （バージョン：１）
最新アップデート：２００６-０２-０７ ダン・ゴールドバーグによっての１７：５５：４３の UTC （バージョン：１）
Patrick Harper reported seeing attempts to access the http server in cisco routers with an old exploit (reported and fix in 2001) using level 16 to bypass authentication like this:
パトリック Harper が cisco ルーターで http サーバーにアクセスする試みが、古い exploit が（報告されていて、そして２００１年の苦境である）をという状態で、レベル１６をこのような認証を回避するために使っているのを見て報告しました：
GET /level/16/exec/-///pwd HTTP/1.0
He reported seeing this traffic from many sources.
彼は多くのソースからこのトラフィックを見たことを報告しました。
This has been fixed in IOS some time ago. However someone thinks they can get lucky and find some out of date routers.
これはしばらく前に IOS で修理されました。 しかしながら、誰かが（彼・それ）らが幸運に恵まれて、そして時代遅れの若干名がルーターであると思うことができると思います。
Handler Don Smith advises: "Reporting this to the ISPs is a good idea.
調教師ドン・スミスが知らせます：「これを ISP に報告することは良い考えです。
They are often interested in anyone who is trying to break into a router:)"
（彼・それ）らはしばしばルーターに押し入ろうとしている誰にでも興味を持っています：）」
One interesting property of this traffic is that it is not spoofed, a TCP 3-way handshake must be completed with the target before sending HTTP data such as a GET. That is true of all TCP based scans. TCPDUMP shows a P for PUSH so both ends are really talking. In a spoofed scan you never get farther than SYN. The SYN-ACK is sent back to the spoofed source who drops it most likely.
このトラフィックの１つの面白い不動産がそれが偽装されないということです、 GET のような HTTP データを送る前に、 TCP ３方向の握手が目標で完了されなくてはなりません。 それはすべての TCP ベースの走査について本当です。 TCPDUMP はプッシュのためにＰを見せます、それで両方の終わりが本当に話をしています。 ちゃかされた走査であなたは決して SYN より遠くなりません。 SYN - ACK は最も見込みが高くそれを落とすペテンにかけられた情報提供者に送り返されます。
AAA.BBB.CCC.DDD.1873 > WWW.XXX.YYY.ZZZ.http: P [tcp sum ok] 99999
13645:1403813683(38) ack 221455884 win 64860 (DF) (ttl 107, id 46390, len 78)
2. The exploit is an old one, so why is it in circulation again?
２． exploit は古い（の・もの・人）です、それでそれはなぜ再び広まっていますか？
Here is the original advisory form Cisco:
ここにオリジナルの顧問の書式シスコがあります：
http://www.cisco.com/warp/public/707/IOS-httplevel-pub.html
Best practices dictate turning off all unused services on a host. So go to your border router and if it does now have
最善の試みがホストの上にすべての使われていないサービスを止めることを必要とします。 それであなたのボーダールーターのところに行ってください、そしてもしそれが今そうするなら、そうした
"no ip http server"
「ip http サーバーはなしです」
in the configuration add it now. This will prevent this or any new http exploit from working on your router.
形状で、今それを加えてください。 これはこれあるいはどんな新しい http 偉業でもあなたのルーター上で機能するのを阻止するでしょう。
Some old tricks keep coming back, and Patrick thanks for sharing.
若干の古いトリックが共有のために今度の奥とパトリック感謝を保持します。
（出展：SANA)
パトリック Harper が cisco ルーターで http サーバーにアクセスする試みが、古い exploit が（報告されていて、そして２００１年の苦境である）をという状態で、レベル１６をこのような認証を回避するために使っているのを見て報告しました：
GET /level/16/exec/-///pwd HTTP/1.0
He reported seeing this traffic from many sources.
彼は多くのソースからこのトラフィックを見たことを報告しました。
This has been fixed in IOS some time ago. However someone thinks they can get lucky and find some out of date routers.
これはしばらく前に IOS で修理されました。 しかしながら、誰かが（彼・それ）らが幸運に恵まれて、そして時代遅れの若干名がルーターであると思うことができると思います。
Handler Don Smith advises: "Reporting this to the ISPs is a good idea.
調教師ドン・スミスが知らせます：「これを ISP に報告することは良い考えです。
They are often interested in anyone who is trying to break into a router:)"
（彼・それ）らはしばしばルーターに押し入ろうとしている誰にでも興味を持っています：）」
One interesting property of this traffic is that it is not spoofed, a TCP 3-way handshake must be completed with the target before sending HTTP data such as a GET. That is true of all TCP based scans. TCPDUMP shows a P for PUSH so both ends are really talking. In a spoofed scan you never get farther than SYN. The SYN-ACK is sent back to the spoofed source who drops it most likely.
このトラフィックの１つの面白い不動産がそれが偽装されないということです、 GET のような HTTP データを送る前に、 TCP ３方向の握手が目標で完了されなくてはなりません。 それはすべての TCP ベースの走査について本当です。 TCPDUMP はプッシュのためにＰを見せます、それで両方の終わりが本当に話をしています。 ちゃかされた走査であなたは決して SYN より遠くなりません。 SYN - ACK は最も見込みが高くそれを落とすペテンにかけられた情報提供者に送り返されます。
AAA.BBB.CCC.DDD.1873 > WWW.XXX.YYY.ZZZ.http: P [tcp sum ok] 99999
13645:1403813683(38) ack 221455884 win 64860 (DF) (ttl 107, id 46390, len 78)
2. The exploit is an old one, so why is it in circulation again?
２． exploit は古い（の・もの・人）です、それでそれはなぜ再び広まっていますか？
Here is the original advisory form Cisco:
ここにオリジナルの顧問の書式シスコがあります：
http://www.cisco.com/warp/public/707/IOS-httplevel-pub.html
Best practices dictate turning off all unused services on a host. So go to your border router and if it does now have
最善の試みがホストの上にすべての使われていないサービスを止めることを必要とします。 それであなたのボーダールーターのところに行ってください、そしてもしそれが今そうするなら、そうした
"no ip http server"
「ip http サーバーはなしです」
in the configuration add it now. This will prevent this or any new http exploit from working on your router.
形状で、今それを加えてください。 これはこれあるいはどんな新しい http 偉業でもあなたのルーター上で機能するのを阻止するでしょう。
Some old tricks keep coming back, and Patrick thanks for sharing.
若干の古いトリックが共有のために今度の奥とパトリック感謝を保持します。
（出展：SANA)