Net-Worm.Win32.Slammer

Teknik detaylar

Helkern (aka Helkern, aka Sapphire), Microsoft SQL Server 2000'i etkileyen son derece küçük (sadece 376 bayt) İnternet solucanıdır. Kurban makinelerine girmek için solucan, bir tampon taşması güvenlik açığından yararlanır (aşağıya bakınız).

Solucan kodu savunmasız bir SQL sunucusuna girdiğinde, kontrol (bir tampon taşma hilesi kullanarak) kazanır, daha sonra üç Win32 API işlevini üstlenir:

GetTickCount (KERNEL32.DLL)
yuva, sendto (WS2_32.DLL)

Solucan, GetTickCount işlevini kullanarak rastgele bir sayaç alır ve sonsuz bir yayılma veya "yumurtlama" döngüsüne girer. Yayılma döngüsünde, solucan kendisini rastgele IP adreslerine (rastgele sayaca bağlı olarak) MS SQL bağlantı noktası 1434'e gönderir.

Solucan çok noktaya yayın paketleri gönderir, yani bir "gönder" komutu ile bir alt ağdaki 255 makineye ulaşır. Sonuç olarak, bu solucan şu an bilinen herhangi bir solucandan 255 kat daha hızlı yayılıyor.

MS SQL sunucuları genellikle Web'de kullanıldığından, bu solucan global bir INet DoS saldırısına neden olabilir, çünkü tüm virüslü sunucular sonsuz bir döngüde rastgele seçilen diğer makinelere bağlanmaya çalışırlar ve bu da küresel bir INet trafiği taşmasına neden olur.

Solucan sadece hafızadır ve virüslü bir makinenin belleğinden kurbanın makinesinin belleğine yayılır. Solucan herhangi bir ek dosya bırakmaz ve hiçbir şekilde kendini göstermez.

Solucan kodunda görünen metin dizeleri vardır (solucan kodu ve verileri karışımı):

h.dllhel32hkernQhounthickChGet
Qh32.dhws2_f
etQhsockf
toQhsend

Arabellek Taşması

Bu arabellek taşması istismar aşağıdaki ada sahip:
MS SQL Server 2000'de Yetkilendirilmemiş Uzaktan Ödün

Etkilenen sistemler:
Microsoft SQL Server 2000, tüm Hizmet Paketleri

Bu güvenlik ihlali, Temmuz 2002'de bulundu ve daha sonra "MS SQL Server 2000" düzeltme eklerinde düzeltildi.

Bununla ilgili daha fazla bilgiyi aşağıdaki adreslerde okuyabilirsiniz:
Microsoft Güvenlik Bülteni MS02-039
NGSSoftware Insight Güvenlik Araştırmaları Danışmanlığı

MS SQL Server 2000'in düzeltme eki şu adreste bulunabilir: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=40602