[connect24h:02016] Re: snort IIS Unicode attack signature

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

kirei　　『ねぇ、見た？このサイト』
　suteki　『これでしょう！いいよね♪』
         http://www.kadan.ne.jp/bn.cgi?info02 
　kantan　『お、いいね。早速使おうっと！』
------------------------------------------------------------------------


Port139 いはらです。

On Thu, 08 Mar 2001 13:18:21 +0900
DANNA <danna@xxxxxxxxxxx> wrote:

>preprocessor_http_decode: -unicode
>
>をシグネチャファイルに記述してください。これで止まるはず。

自分で試せという噂もありますが...

UNICODE のアタックって web-iis.rules の以下のルールでも検知で
きるんでしたっけ？

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80
(msg:"WEB-IIS cmd? acess";flags: A+; content:".cmd?&"; nocase;) 

 -unicode した時に、UNICODE 攻撃をどう検知するかなんですけど、
基本的には cmd.exe を呼び出すはずなのでこっちでひっかければい
いのかなぁなんて個人的には考えてるんですけど、甘いっすかね？

---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/