[connect24h:03323] FYI:IIS5.0 .idq overrun remote exploit code

[hamamoto <r00t@xxxxxxxxxxx>]

はまもとです。

win2ksecadviceに「IIS5.0 .idq overrun remote exploit code」がpostされま
した。

Index Server ISAPI エクステンションの未チェックのバッファにより Web
サーバーが攻撃される (MS01-033)
http://www.microsoft.com/japan/technet/security/prekb.asp?sec_cd=MS01-033
こいつのexploit codeだと思われるのですが、どなたか日本語版IIS5.0にあたる
かどうかチェックされた方はいらっしゃいますでしょうか？

/*
 IIS5.0 .idq overrun remote exploit
 Programmed by hsj  : 01.06.21

 code flow:
  overrun -> jmp or call ebx -> jmp 8 ->
  check shellcode addr and jump to there ->
  shellcode -> make back channel -> download & exec code
*/

だそうです。

+---------------------------------------------------------------------
| はまもと
| ■常時接続の宴（インターネット常時接続ニュースサイト）
| http://cn24h.hawkeye.ac/
| ■24 時間常時接続メーリングリスト開催中
| http://cn24h.hawkeye.ac/connect24h.html
| ■セカンダリDNS互助会
| http://cn24h.hawkeye.ac/dns.html 
+----------------------------------------------------------------------


------------------------------------------------------------------------
　　　　　　　　　　　◎　洗濯モノたまってない？　◎　　　　　　　　　　
　　　　 http://tenki.infoseek.co.jp/amedas_b_zen.html?svx=971122