[stalk:00617] Re: ISAP OVERFLOW

[MICKY <micky@xxxxxxxxx>]

犬のみっきーです。

CodeRed wormの攻撃１サイクルを調べてみました。見づらくてスイマセン。

イヤがってるホストに無理やりデータを送りつける所が、なんか強引に
ｘｘしてるようでイヤらしい。

No.: src-ip src-port dest-ip dest-port flags seq ack
0001: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 SYN		1073875778
0002: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 SYN ACK	3693064213 1073875779
0003: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 ACK		1073875779 3693064214
0004: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 ACK PSH	3693064214 1073875779
0005: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 ACK FIN	3693064651 1073875779
0006: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 ACK PSH	1073875779 3693064214
	data : 47 45 54 20 GET 
0007: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 RST		3693064214
0008: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 ACK PSH	1073875783 3693064214
	data : 2F 64 65 66 61 75 6C 74 2E 69 64 61 3F 4E 4E 4E   /default.ida?NNN
0009: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 ACK		1073877215 3693064214
0010: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 RST		3693064214
0011: xx.xx.67.105 4758 xxx.xxx.xxx.68 80 ACK		1073877215 3693064652
0012: xxx.xxx.xxx.68 80 xx.xx.67.105 4758 RST		3693064652

snort.orgにも情報出てますね。

>----- みっきーのネットワーク研究所 -----<
>  http://www.hawkeye.ac/micky           <
>  所長：犬のみっきー <micky@xxxxxxxxx>  <
>----------------------------------------<

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　山？ △　　川？ ○　　海っ！ ◎　　　　梅雨明けだあぁ！　　　　
　 http://www.infoseek.co.jp/Playspot?pg=playspot_top.html&svx=971122