BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Exploit.IIS.Beavuh

Sınıf Exploit
Platform IIS
Açıklama

Teknik detaylar

Beavuh, Microsoft tarafından "Güvenlik Bülteni MS01-23" de açıklanan ve 1 Mayıs 2001'de yayımlanan sözde MS IIS ".printer" güvenlik açığından yararlanan bir yazılımdır.

MS01-23 Güvenlik Bülteni aşağıdaki konumda görüntülenebilir:

www.microsoft.com/technet/security/bulletin/ms01-023.asp

Bu istismar programı, hedef makinedeki basit bir Windows NT komut kabuğuna uzaktan erişim sağlar. Beavuh'un yakın zamanda (2 Mart 2002'de) çok sayıda korsanlık girişimi için kullanıldığı bildirildi.

Yararlanma programı aşağıdaki parametrelere sahiptir:

  • bir hedef IP adresi
  • bir hedef port numarası
  • İstisna kodunun komut kabuğu ile tekrar bağlanacağı bir IP adresi / portu.

    IIS güvenlik açığı daha önce yamalanmamışsa, uzaktan erişim kodu hedef makinede yürütülür. Kod şifrelenir, bu nedenle ilk önce kendini şifrelemek için devam edecek ve daha sonra Windows NT kitaplığı ("kernel32.dll") için sistem belleğini tarayacaktır. Oradan, 'GetProcAddress' fonksiyonunun 'ofset'i elde edilecek ve bundan başka, hem "kernel32.dll" hem de "wsock32.dll" den başka bir çift API adresi elde etmek için kullanılacaktır.

    Sonraki Beavuh, saldırganın belirttiği adrese bağlanır, çalıştırılabilir "cmd.exe" yi başlatır ve komut kabuğunun girişini ve çıkışını saldırganın kontrol makinesine açılan sokete bağlar.

    öneriler
    Bu istismarın yaygınlığı nedeniyle, sistem yöneticilerinin savunmasız bir IIS sunucusunu mümkün olan en kısa sürede yamalamasını öneriyoruz. Ayrıca, KL ISAPI AV filtresinin kurulması, bunun dahil olmak üzere IIS arabellek taşması istismarlarını bloke etmenin genel bir yolunu sağlar. Daha fazla bilgi için lütfen kontrol edin:

    www.kasperskey.com/support.html?chapter=47


  • Orijinaline link