За тези които имат MS SQL ili MSDE което е онлайн

<font size="2">За тези които имат MS SQL ili MSDE което е онлайн да погледнат тук:

http://isc.incidents.org/analysis.html?id=180



Има нов червей от събота и прави здрав трафик ако ви зарази сървара за укенда може да ви е направил над 1ГБ трафик.

</font id="size2">

Носете червеят на 1434 милисекунда - SQL

Публикувам : 2003 - 01 - 25



( предварителна мярка . Очаквайте чести обновявания )



Графика на разпростиране на червей :

HTTP:// ISC . SANS .ORG / порт 1434 започва . GIF



Уязвими системи

==================



Сървер 2000 на Майкрософт SQL



Настолен двигател на Майкрософт 2000 ( MSDE 2000 )

Кой е инсталиран като част от :

* сервитьорът 2000 на SQL ( разработчик , стандарт , и издания на предприятие )

* зрително студио .NET ( архитект , разработчик , и професионални издания )

Инструмент на матрица на мрежа на * ASP .NET

( различни версии ) на * Офис ЕксПи

* MSDN ( разнообразни нива за абонамент )

Достигнете 2002

* зрителен FOXPRO 7 . 0 / 8 . 0



За завършен списък , вижте :

HTTP:// WWW . SQLSECURITY .COM / DESKTOPDEFAULT . ASPX ? TABINDEX = 10 и TABID = 13





( виждам по-долу за кръпка / детайли на сервизен пакет )



Резюме

=======



Стартирайки 05 : UTC от 30 г. ( 00 : 30 източно стандарно време ) в събота 25 ти януари 2003 , в световен мащаб

Трафик за порт 1434 UDP нарастна бързо причинявайки главен Интернет

Връзки ще се провалят . Интернет-доставчици които отговориха бързо чрез блокиране носят 1434 .

Докато трафик все още е силен в някои площи . То падна значително

От неговият максимум . Около 35 , 000 домакини изглеждат да бъдат заразени за момента .



До сега , този червей беше наречен " сапфир " , " SQL - адът " и

" г-жа SLAMMER " .



Червеят изпраща 376 байтов дълъг пакет на UDP към ляво използване от 1434 случайно

Цели при много висока скорост . Уязвими системи незабавно ще започват

Изпращайки еднакви 376 пакети на байт веднъж те са заразени .

Червеят изпраща трафик към случаен IPS , включително MULTICAST IPS ,

Кой може да подобрява неговата полезна ( ДОС ) способност за отказ .



Единствени сървери на Майкрософт - SQL бяха докладвани за да генерират трафик в крайност

От 50 сек. на MBIT / . След заразяване .



Репортажът за здраве на интернетът на ключовият камък все още докладва деградация за връзката :

WWW на HTTP:// 1 . INTERNETPULSE .NET / Като резултат на понижени връзки , корен DNS

Сервитьори и други ресурси бяха неналични понякога .



Смекчаване

==========



- блок носи входящи и изходящи 1434 UDP .



- потвърдете , че вие приложихте всички кръпки към милисекунди , SQL сървери , в частност

Майкрософт 02 - 039 : буфер надхвърля в сърверът на SQL 2000 услуга за решителност можеше

Позволявам инфекция : на екзекуция на код която ( Q 323875 ) предотвратява



HTTP : / / Майкрософт на WWW . .COM / TECHNET / TREEVIEW / стандартен .ASP ? URL = сигурността на / TECHNET / / бюлетин / Майкрософт 02 - 039 .ASP



Важно : ( от постът на NTBUGTRAQ до Ерик SCHULTZE )

" Майкрософт 02 - 039 е приложим към сърверът 2000 на SQL и MSDE 2000 SP 2 . Тези

Пускайки SQL без SP на Ан , или SQL 2000 които SP 1 ще трябва да подобрява до SP 2

Да прилага тази кръпка , или инсталация SQL 2000 SP 3 .



Уместният файл в г-жа 02 - 039 е SSNETLIB .DLL . Вие трябва да имате

2000 . 80 . 636 . 0 или по-късен от толкова файловият която ще бъде премислян кърпяни . "





- монитор - вашият мрежов за домакини изпращащи големи на 1434 пакети на UDP за номер .



- CISCO - RECOMENDATIONS :

HTTP:// WWW . CISCO .COM / изкривяване / публичен / 707 / CISCO - SN - 20030125 - червеят . SHTML



Почистване

=======



- Разкачнете система от мрежа

- спиране - системно

- захранваща система повалена

- Рестартирайте система .

- се прилагат кръпки ( виждам по-горе )

- Се свържете отново с мрежа и система на монитор



Червеят не пише на диск и престои в памет . Глупак рестартира завещание

Почиствайте заразена машина . Забележете онова поради високият обем в трафик

Този червей генерира , каквато и да е уязвима система , свързана с Интернет е

Вероятно да бъдеш заразен в минути .



Откриване

=========



Правило за пръхтене ( до Крис BRENTON ) :



> Предупредете UDP $ Външен _ лови каквато и да е - $ Дом _ мрежа 1434 ( MSG : " червей на сапфир на SQL " ,

> dsize:300; content: "|726e 5168 6f75 6e74 6869 636b 4368 4765|";

Компенсирайте : 150 , дълбочина : 75 , )



( това пръхтене нарежда подхожда участието на подвиг , а не подплатата , кой прави

Специфична информационна технология ще подвигът използуван , не трябва към тази подробност да обезпаразитява )





Ето склад на пакет от който аз създадох моята сигнатура на пръхтене :

0: 0003 ba0b e48d 0050 7343 a257 0800 4500 .......PsC.W..E.

16: 0194 00f2 0000 6d11 d101 da39 813a c331 ......m....9.:.1

32: 42d1 10c8 059a 0180 aa1d 0401 0101 0101 B...............

48: 0101 0101 0101 0101 0101 0101 0101 0101 ................

64: 0101 0101 0101 0101 0101 0101 0101 0101 ................

80: 0101 0101 0101 0101 0101 0101 0101 0101 ................

96: 0101 0101 0101 0101 0101 0101 0101 0101 ................

112: 0101 0101 0101 0101 0101 0101 0101 0101 ................

128: 0101 0101 0101 0101 0101 01dc c9b0 42eb ..............B.

144: 0e01 0101 0101 0101 70ae 4201 70ae 4290 ........p.B.p.B.

160: 9090 9090 9090 9068 dcc9 b042 b801 0101 .......h...B....

176: 0131 c9b1 1850 e2fd 3501 0101 0550 89e5 .1...P.5....P..

C 6 на 192 : 5168 2 E 64 6 C 6865 6 C 33 3268 6 милиарда 65 726 E QH . DLLHEL 32 HKERN

QHOUNTHICKCHGETT на 208 : 5168 6 F 75 6 E 74 6869 636 милиарда 4368 4765 7454

9 на 224 : 66 B 6 C 6 C 5168 3332 2 E 64 6877 7332 5 F 66 F . LLQH 32 . DHWS 2 _ F

240 : B 965 7451 6873 6 F 63 6 милиарда 66 милиарда 974 6 F 51 6873 . ETQHSOCKF . TOQHS

256 : 656 E 64 съм край на AE 42 8 D 45 D 450 FF 16 508 D от 1810 г. ... ... B . E . P ... P .

272 : 45 E 0 508 D 45 F 0 50 FF 1650 ВЕ 10 10 AE 428 милиарда E . P . E . P ... P . ... милиарда .

EC на 288 : 1 E 8 милиарда 033 D 558 милиарда 51 7405 е на 1 C 10 AE 42 FF ... = U . . QT ... ... милиарда .

304: 16ff d031 c951 5150 81f1 0301 049b 81f1 ...1.QQP........

320 : 0101 0101 518 D 45 СС 508 B 45 C 0 50 FF 166 A . ... Q . E . P . E . P ... J

336 : 116 A 026 A 02 FF D 050 8 D 45 C 450 8 милиарда 45 C 050 . J . J ... P . E . P . E . P

< 3 на FF 16 89 C 6 09 ДБ 81 F3 от 352 : г. C 61 D 9 FF 8 B 45 B 48 D ... ... ... A ... E . .

368: 0c40 8d14 88c1 e204 01c2 c1e2 0829 c28d .@...........)..

384: 0490 01d8 8945 b46a 108d 45b0 5031 c951 .....E.j..E.P1.Q

400 : 6681 45 50 FFD за променлив ток 6 F ... X . Q . F 178 0151 8 D 45 0350 8 милиарда E . P . E . P . .

416 : EBCA ...





Анекдотни репортажи на списък ( по-долу ) казват че червеят може да се активира

NETFLOW прехвърлящ идентификация на бъг - бъг на CISCO CSCDU 72555 - която е адресирана като инчова

" определени възражения CISCO IOS пускат 12 . 0 ( 18 ) сек. 2 " ( се свързват по-долу ) .



Детайли

=======



Този червей използува уязвимост ако е " портът на мониторът " на SQL - сърверът .

Портът на мониторът е използуван да открива кои методи за връзка на ар

Предлагам чрез подробност сервитьор . Съобщението , изпратено от клиентът обикновено е

Единствен байт ( 0 X 02 ) . Отговорът зависи от конфигурацията на сервитьорът .



Както и да е , Дейвид - LICHTFIELD

( HTTP:// WWW . NGSSOFTWARE .COM / упътвания / MSSQL - UDP .TXT ) Откривам две

Условия за преливане на буфер в тази услуга , която може да бъде практикувана да изпълнява

Своеволен код в контекст за сигурността на сърверът .



Червеят кодира завещание , след като то зарази сервитьор , генерирайте пакети на UDP

Случаен IPS . Друг товар не е известен за момента и основан на споразумението

Информационна технология на код е невероятна че друг товар съществува .





Уместни връзки

==============



Упътването на Майкрософт

/ сигурност / на .COM на Майкрософт на HTTP:// WWW . SLAMMER .ASP



Упътване за сигурна работа :

/ упътвания / на .ORG за сигурна работа на HTTP:// WWW . Калифорния - 2003 - 04 .HTML



Г-н кръпка :

HTTP : / / Майкрософт на WWW . .COM / TECHNET / TREEVIEW / стандартен .ASP ? URL = сигурността на / TECHNET / / бюлетин / Майкрософт 02 - 039 .ASP



Г-жа SERIVCE качва 3 :

HTTP:// WWW . Майкрософт .COM / SQL / даунлоуди / 2000 / SP 3 .ASP



Упътването на LICHTFIELD г-жа UDP :

HTTP:// WWW . NGSSOFTWARE .COM / упътвания / MSSQL - UDP .TXT



Обезпаразитете код :

HTTP:// WWW . DIGITALOFFENSE .NET / червеи / MSSQL _ UDP _ червей /

HTTP:// WWW . EEYE .COM / HTML / проучване / блясване / сапфир .TXT



Упътвания за г-н сигурна работа :

HTTP:// WWW . - килобайтов . / идентификация / 370308 на .ORG VULS / за сигурна работа

HTTP:// WWW . - килобайтов . / идентификация / 399260 на .ORG VULS / за сигурна работа

HTTP:// WWW . - килобайтов . / идентификация / 484891 на .ORG VULS / за сигурна работа

HTTP:// WWW . - килобайтов . / идентификация / 796313 на .ORG VULS / за сигурна работа



Уместни подвизи на Майкрософт - SQL :

HTTP:// WWW . NEXTGENSS .COM / упътвания / MSSQL - UDP .TXT

HTTP:// PACKETSTORMSECURITY .ORG / 0211 - подвизи / SQL 2 . CPP



Репортаж за първостепенното здраве на интернетът :

WWW на HTTP:// 1 . INTERNETPULSE .NET /



Упътване на контролен пункт :

Контролен пункт на HTTP:// WWW . .COM / TECHSUPPORT / документация / SMARTDEFENSE / 2003 / CPAI - 2003 - 04 .HTML





Цитати на разни от ISC които прониквания описват

=====================================



Изпратен от Джордж Уилиам Хърбърт

Събота , 25 януари , 2003 4 : 44 сутринта

BUGTRAQ @ SECURITYFOCUS . COMCOM < BUGTRAQ @ SECURITYFOCUS .COM >



" 1 гръбнаци на ред докладват лоша нощ : изпращане

Нестабилности , един майор изпуснаха повечето от неговото взиране

За момент , томът от това причинява CISCO

NETFLOW преминаващ тормози и причинява маршрутизатори да се заключват

Нагоре АТ се размени , и т. н. . "



Преминаващата идентификация на бъг - бъг на CISCO NETFLOW CSCDU 72555 беше адресиран в " определени възражения CISCO IOS пускат 12 . 0 ( 18 ) сек. 2 "



HTTP:// WWW . CISCO .COM / ен / американски / продукти / SW / IOSSWREL / PS 1829 / мушка _ пускане _ бележка 09186 A 0080132 9 F .HTML

Междуплатформно пускане забелязва че за CISCO IOS пуска 12 . 0 сек. , част 3 : възражения



В частта " определени възражения CISCO IOS пускат 12 . 0 ( 18 ) сек. 2 " ( забелязвам думата " определен " )

Инчов CSCDU 72555

Пускайки пробван NETFLOW за да събирам трафикът от 3 портов гигабит карта на линия Етернет на маршрутизатор на Интернет на CISCO 12016 само може да събира трафик върху интерфейс на първият гигабит . Няма избягване . "



XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX



Сивият цвят - събота ISC на SANS - Джош , януари 25 , 2003 4 : 01 сутринта

" информационна технология " S в същност Ан която подвиг базира на това ,

HTTP:// PACKETSTORMSECURITY .ORG / 0211 - подвизи / SQL 2 . CPP "



" инсталация на SP 3 след компромис изглеждаше до решение

<Изданието . " Бен KOSHY Бен @ медия на W 3 .NET > Събота , 25 януари , 2003 5 : 28 сутринта

Събота , 25 януари , 2003 5 : 28 сутринта



XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX



<TAMMANY на Ръсел Ръсел @ XPONENTIA .NET >

Събота , 25 януари , 2003 6 : 03 сутринта NTBUGTRAQ @ LISTSERV . NTBUGTRAQ . COMCOM < NTBUGTRAQ @ LISTSERV . NTBUGTRAQ .COM >



" текущият червей вървещ наоколо заразяващ 2000 сървери на г-н SQL "

" изпраща от порт изходящи 4741 включени които местната система веднъж зарази , Да

Случайно други сервитьори ще носят 1434 .

Аз настроих филтър за влизане на пакети на UDP за SRC = 4741 , и DEST = 1434

И потвърди това че това прави сервитьори за спирка от засягане . "



XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX



Анекдотен докладва Интересен PIZAZZ :



" ние сме огромно виждане

Грамадни количества на ляв трафик от 1434 който стартира в 01 : да 40 източно време идва от всичко

Над световните и насочени при всички нашите клиенти . Ние виждаме ISS

REALSECURE SQL _ SSRP _ BO напада в количества като аз не ВИЖДАМ от NIMDA

Първо започвам с нещото на то . Произлизам от случайни портове на източник и

Насочвам към TCP / 1434 инча



===================================================================

Патрик NOLAN допринесе за този репортаж .

Последно обновяване : 2003 - 01 - 28 13 : 41 източно стандарно време

Изпращам обновявания към ISC @ SANS .ORG - JULLRICH