6月 28

第4回 パケットキャプチャ術で秘密もちょっぴりこぼれた?

title

前回まではCTFネタをお届けしたわけですが
今回は、編集の方のご意向もあり
新人技術者の方への「教育」を意識して、パケットキャプチャネタを書かせていただきました。
紹介させていただいているツールは「Wireshark」付属のコマンドラインツール「tshark」です。
記事中にも書いているのですが、こちらのツールは、「tcpdump」よりも小回りがきくだけでなく
「Wireshark」のフィルタの勉強にもなるということから、こちらのツールを紹介させていただいております。

ボクは、今まで、ペネトレーションテストを生業にさせていただいてきましたが
実は、初仕事は、IDS関連だったりします。
そして、学生時代には、パケットをキャプチャすることで裏側で何をしているのが分かる。
ということを学んで、ワクワクしたこともありました。

そういったこともあり、パケットキャプチャには特別思い入れがあり
「教育」というキーワードを聞いたとき、「コレしかない」と思ったわけです。
ネットワークに関係する仕事をする上で、いつまでも切っても切れないものだと思います。

記事中には、簡単な練習問題も出題していますので
新人の方は、パケットキャプチャに慣れるために
慣れ親しんだ方は、頭の体操にと
手を動かしていただければ幸いです。

Category: site | 第4回 パケットキャプチャ術で秘密もちょっぴりこぼれた? はコメントを受け付けていません。
6月 15

Windowsのヘルプとサポートセンターの脆弱性(CVE-2010-1885)デモ

某所で公開している検証レポートでは、色々と制限もあるので
あくまで「個人的」に、デモを作成しました。
よって、このエントリは、私の所属する組織を代表するものではありません。

このエントリ作成現在、MSから、修正プログラムがリリースされておらず、
回避策のみの提示となっているので、その回避策実施後の
有効性チェックを行うなどに活用いただければと考えています。
回避策やその影響については下記のサイトを参照ください。
Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される

デモの内容は以下のような流れです。

1. ブラウザでアクセス
2. 「ヘルプとサポートセンター」(helpctr.exe)が起動される。
3. 「コマンドプロンプト」(cmd.exe)が起動される。 ← 一瞬で消えます。
4. デスクトップにtwitterアドレスが書かれたテキスト「ntsuji.txt」が作成される
(echoコマンドを実行してテキストを作成しています。)

2010年6月17日追記:
4. のテキストの作成場所は、unDonutなどのIEコンポーネントを利用しているブラウザでは
デスクトップではなく、実行ファイルのCurDirに保存されるようです。
willowletさん 情報ありがとうございます。

以上の内容以外のことは実行していませんが
(ということ自体、信用していただくしかありませんが…)
本デモによって生じたいかなる損害にも責任は負いかねます。

細かいチェックはしていませんが、会社からのアクセスなどでは
アンチウイルスやIDSなどによる検知が行われる可能性があるため
自身の管理下にあるリソースでお試しください。

ご了承いただける方のみ下記リンクよりデモを体験してください。

2010年6月18日追記:
くどいようですが、デモをクリックするとアンチウイルスから警告が出る場合があります。
例えば、MSEでは「Exploit:Win32/CVE-2010-1885.A」と検出されます。

デモはこちら

ちなみにIE6でデモにアクセスした場合には以下のように
ヘルプとサポートセンターが起動し、その後は実行されませんでした。

Category: exploit | Windowsのヘルプとサポートセンターの脆弱性(CVE-2010-1885)デモ はコメントを受け付けていません。
6月 10

PTKインストールメモ

SleuthKitのフロントエンドである「PTK」のインストールメモです。
同じフロントエンドとしては「Autopsy」が有名です。
インストール方法も「Autopsy」のほうが相当楽なのですが
操作性や見栄え、メモリイメージへの対応などを考えると
今後は、「PTK」が主流になっていくのかなぁ。
ということもあり、メモに残すことにしました。

インストール環境は、Ubuntu 9.10です。PTKは 1.0.5 です。
Continue reading

Category: forensic, memo | PTKインストールメモ はコメントを受け付けていません。
6月 1

Wireshark SMB file extraction plug-inをいれてみた。

TaddongというところからWiresharkのplug-inがリリースされていました。
blogのエントリを斜め読みしたところ、SMB通信をキャプチャすると流れたファイルを補足して表示し
保存までできるような感じです。

とまぁ、いつものごとくしっかりドキュメントも読まずに
とりあえず動かしみよう。ということで手元のUbuntu9.10に入れてみました。
このplug-inはソースにパッチを当てることで組み込むことができます。
ということで
Continue reading

Category: memo, packet, tool | Wireshark SMB file extraction plug-inをいれてみた。 はコメントを受け付けていません。