[connect24h:01784] Re: 侵入手口について

[Seiichi Nakashima <nakasei@xxxxxxxxxxxx>]

中島です

小島殿のセキュリティmemoに掲載されていた

www.st.ryukoku.ac.jp/~kjm/security/memo/2001/jp-attack.html

http://www.isforce.org/cgi-bin/bbs/bbs.cgi?menu=show&slttitle=20010226234942&id=lion&see=36 で
 lion 氏が侵入方法について記述している。 RedHat および Slackware で動作するという bind 攻略ツールの
ソースが添付されている。 

を利用して試験をしました。

攻撃側はSlackwareを利用してコンパイルしました。

slackwareの場合は、Ｋｅｒｎｅｌをコンパイルして変更して利用する都合上、
bind-8.2.2-p7利用時であっても、stack dumpが表示されますが、
何事も起きません。namedも落ちません。

馬場さんの記述のこれは起きませんでした。

>掲示板で公開されている Program をコンパイルして動作を確認
>しました。8.2.2-P5 が動いている RedHat6.2 にたいして侵入した
>ところ、あっさりはいれました。

また、これも起きませんでした。

>侵入から抜けると、named プロセスは無くなります。

しかし、ツールを変更することで悪用はできそうな気がします。

更に、bind-8.2.3へ変更すると　stack dumpも表示されません。

ターゲットがslackwareを利用して、bind-9.1.0の場合は、
bind-8.2.3のケースと同じになり、何事も起きません。

------------------------------
 Name   : Seiichi Nakashima
 E-Mail : nakasei@xxxxxxxxxxxx
------------------------------