[connect24h:4768] Re: Linux.Slapper.Worm

[Kensuke Nezu <nez@xxxxxxxxxxx>]

根津です。

syun wrote:
> 
> このワームは，まだ危険度が低く見積もられているみたいですが，
> 僕の家のサーバには，ここ１２時間の間に３回も来ていて，
> 流行の予感があります．
> 
> Linux Apache(SSL)サーバをたてている人は気をつけて下さい．
> 簡単にやられます．
> 
> OpenSSLの脆弱性が問題らしいので，他のOSの人も注意した方が
> 良いでしょう．

http://isc.incidents.org/analysis.html?id=167

による解析結果からみると、httpd.confでapache 1.3.12以降のディレクティブ、

ServerTokens   ProductOnly

をつけておくだけで、SSLへの攻撃は来なくなりますね。

＃まず、最初に80/TCPにエラーになるGETリクエストを送って、サーバレスポンス
＃ヘッダからプリコンパイルドモジュールの一覧を取り出し、mod_sslが含まれて
＃いるかどうかを調べてから、ふくまれているなら443/TCPへバッファオーバフロー
＃コードを投げ込んでいるようですので・・・。

-- 
------
根津 研介 日本Sambaユーザ会 / セキュリティ・スタジアム実行委員会 / (株)ファム
日本Sambaユーザ会      : http://www.samba.gr.jp
セキュリティスタジアム : http://www.security-stadium.org  ＜競技参加者、ボランティア募集中>
ファムオープンソースセミナー : http://www.famm.jp
 ※日経ネットワークセキュリティ VOL.2 好評発売中
   http://nikkeibyte.com/Books/#NikkeiNetworkSecurity2

--[PR]------------------------------------------------------------------
　　あなたは確実に無料で賞品がもらえるお得なサイトを知っていますか？
　　　　　　　│　　　　　　　　　　　　　　　│
　　　　・はい↓ココのことですね　　　・いいえ↓じゃあコッソリ教えます
　
 http://ad.freeml.com/cgi-bin/ad.cgi?id=bqyDF
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp