Lão cho tui mớ log được không ? 

ui đoán là attacker dùng các free email account của MS, Google và Yahoo để gửi các mail khai thác lỗi này.

đợi ai đó search lỗi này để biết cách khai thác và cách phòng chống.  

Log from IPS wrote:

2009-01-20 12:05:45 x.x.x.x 65.54.244.232 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:39 x.x.x.x 209.85.143.114 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:36 x.x.x.x 216.39.53.1 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:36 x.x.x.x 216.39.53.1 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:33 x.x.x.x 209.85.143.114 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:33 x.x.x.x 216.39.53.1 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:54:32 x.x.x.x 209.85.143.114 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:49:44 x.x.x.x 65.54.244.232 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:49:27 x.x.x.x 209.85.143.27 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:49:24 x.x.x.x 67.195.168.31 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:47:27 x.x.x.x 66.196.82.7 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:47:27 x.x.x.x 66.196.82.7 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:47:22 x.x.x.x 66.196.82.7 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:47:20 x.x.x.x 209.85.143.27 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
2009-01-20 10:46:42 x.x.x.x 209.85.143.27 smtp email: MS.Exchange.Mail.Calender.Buffer.Overflow
 

Cách thức tấn công về bug này và cách fix lão có thể tham khảo thêm tại

http://www.microsoft.com/technet/security/Bulletin/MS06-019.mspx
http://www.securityfocus.com/bid/17908
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2006-0027
http://www.determina.com/security.research/vulnerabilities/exchange-ical-modprops.html

Lưu ý mục tiêu của topic này là trace được cái anh attacker

Lưu ý mục tiêu của topic này là trace được cái anh attacker
 

Hi anh em,

Vài ngày gần đây, hệ thống logs của mình có phát hiện Attacker đang cố gắng tấn công vào Mail Server thông qua lỗi MS.Exchange.Mail.Calender.Buffer.Overflow hehe. Log của các IP tấn công khi mình lookup ra thì thấy toàn từ Google, Yahoo, Microsoft v.v

Mình cũng đang nghi ngờ attacker này đang dùng proxys. Anh em có ý kiến gì không?
- 209.85.143.114
- 216.39.53.1
- 209.85.143.114
- 65.54.244.232

 

...

3- Lão có thể reject các gói tin nguồn từ các IP (proxies) mà lão đã kê trên đây. Việc này có thể config. trên Advanced security router (nếu có) hoăc config. trên firewall, nếu cài Firewall "hiện đại" (đủ features) một chút.

... 

$ nslookup
> set type=MX
> gmail.com
Server: 192.168.2.2
Address: 192.168.2.2#53

Non-authoritative answer:
gmail.com mail exchanger = 50 gsmtp147.google.com.
gmail.com mail exchanger = 50 gsmtp183.google.com.
gmail.com mail exchanger = 5 gmail-smtp-in.l.google.com.
gmail.com mail exchanger = 10 alt1.gmail-smtp-in.l.google.com.
gmail.com mail exchanger = 10 alt2.gmail-smtp-in.l.google.com.

Authoritative answers can be found from:
gmail.com nameserver = ns2.google.com.
gmail.com nameserver = ns3.google.com.
gmail.com nameserver = ns4.google.com.
gmail.com nameserver = ns1.google.com.
gmail-smtp-in.l.google.com internet address = 209.85.143.27
alt1.gmail-smtp-in.l.google.com internet address = 72.14.205.27
alt1.gmail-smtp-in.l.google.com internet address = 72.14.205.114
alt2.gmail-smtp-in.l.google.com internet address = 209.85.129.27
alt2.gmail-smtp-in.l.google.com internet address = 209.85.129.114
gsmtp147.google.com internet address = 209.85.147.27
gsmtp183.google.com internet address = 64.233.183.27
ns1.google.com internet address = 216.239.32.10
ns2.google.com internet address = 216.239.34.10
ns3.google.com internet address = 216.239.36.10
ns4.google.com internet address = 216.239.38.10
 

moá ơi, cái lỗi cũ xì mà lại mới update. Bó tay lão thắng bố.

muốn truy cái này thì cũng ko khó. Chỉ cần biết nội dung của cái mail mà tụi này gửi là được. Tốt hơn hết là lấy tất cả nội dung mail headers. Có 02 cách:

- Một vài hệ thống có tuỳ chọn lưu tất cả các mail, kể cả mail tấn công vào 01 địa chỉ nào đó hoặc là forward đến 01 địa chỉ nào khác nữa.
- Sniff traffic từ các subnet của gmail, yahoo mail, ... đến dịch vụ smtp của local mail server.
 

....

To anh conmale: Hiện tại em cũng chưa biết được nguồn email của anh chàng attacker này gửi vào cho user nào bên trong mạng của mình nên khó có xác định được Mail Header.

Thật ra IPS có lưu lại hết toàn bộ subject email in/out trên hệ thống, tuy nhiên lượng email từ gmail và yahoo ... nhiều nên xác định email nào là của attacker cũng hơi khó khăn.

Thời gian trước, cách đây khoảng 1 tháng Mail Server của bên em bị 1 đám nào đó gửi spam vào liên tục với tên miền giả danh và gửi theo dạng dò địa chỉ email xem cái nào reply cái nào không tồn tại.

Nhưng sau đó em đã lọc spam trực tiếp trên IPS và không còn bị hiện tượng này nữa. Tuy nhiên, giờ lại có người cố gắng attack qua cái bug này của Exchange. 

PXMMRF wrote:

...

3- Lão có thể reject các gói tin nguồn từ các IP (proxies) mà lão đã kê trên đây. Việc này có thể config. trên Advanced security router (nếu có) hoăc config. trên firewall, nếu cài Firewall "hiện đại" (đủ features) một chút.

... 

Ko cấm được đâu anh. Mấy cái IP đó ko phải là proxies gì đó, mà chính là các mail servers. Cấm là khỏi nhận mail từ tụi nó luôn áh.

$ nslookup
> set type=MX
> gmail.com
Server: 192.168.2.2
Address: 192.168.2.2#53

Non-authoritative answer:
gmail.com mail exchanger = 50 gsmtp147.google.com.
gmail.com mail exchanger = 50 gsmtp183.google.com.
gmail.com mail exchanger = 5 gmail-smtp-in.l.google.com.
gmail.com mail exchanger = 10 alt1.gmail-smtp-in.l.google.com.
gmail.com mail exchanger = 10 alt2.gmail-smtp-in.l.google.com.

Authoritative answers can be found from:
gmail.com nameserver = ns2.google.com.
gmail.com nameserver = ns3.google.com.
gmail.com nameserver = ns4.google.com.
gmail.com nameserver = ns1.google.com.
................................
 

 

Kính chào các anh nick mầu cam, Em có suy nghĩ thế này. Với mục đích tracert ra attacker trong tình huống này nếu không có ISP hỗ trợ thì mọi phương cách chắc chỉ đến đường cụt.
To Mr Thắng: Domain của anh it bị bắn spam hay sao mà lại dùng IPS để filter spam, rồi lại đặt Exchange ra hứng đạn. Em thấy sách vở toàn khuyên nên dùng 1 con mail gateway chuyên dụng (hardware box hoặc Software như PureMessage ...) thực tế sử dụng em thấy sách nói quả không sai. Dùng mail gateway lọc spam, lọc virus, change header, forward mail ... khỏe hơn nhiều. Thôi nghe lời anh Conmane đi kiện toàn đi anh.

Trân trọng. 

Kính chào các anh nick mầu cam, Em có suy nghĩ thế này. Với mục đích tracert ra attacker trong tình huống này nếu không có ISP hỗ trợ thì mọi phương cách chắc chỉ đến đường cụt.
To Mr Thắng: Domain của anh it bị bắn spam hay sao mà lại dùng IPS để filter spam, rồi lại đặt Exchange ra hứng đạn. Em thấy sách vở toàn khuyên nên dùng 1 con mail gateway chuyên dụng (hardware box hoặc Software như PureMessage ...) thực tế sử dụng em thấy sách nói quả không sai. Dùng mail gateway lọc spam, lọc virus, change header, forward mail ... khỏe hơn nhiều. Thôi nghe lời anh Conmane đi kiện toàn đi anh.

Trân trọng. 

Trong trường hợp này, cũng như nhiều trừong hợp khác, nên "tăng cường, bổ sung" kết cấu hạ tầng, hơn là cố găng fix, securing codes lại, cài thêm secure soft. .... Vì bổ sung Mail gateway device sẽ hiêu quả, ổn đinh và sau này "điều hành, theo rõi" hệ thống sẽ đơn giản hơn.

Tất nhiên cũng có nhiều Mailserver Gateway Softwares (Windows based) dùng để hỗ trợ Exchange.

Cuối cùng, theo tôi, nếu công ty có điều kiện thì nên dùng Kerio Mailserver 6.6x (Kerio Mailserver khá nổi tiếng), thay vì Exchange.
Các tính năng AntiSpam của nó cũng mạnh mẽ và đa dạng hơn:  

...
Và đúng là trong thời gian tới bên mình nên đầu tư & thiết lập 1 con mail gateway để làm thay vai trò của Exchange hiên tại.
.....
 

Tui nói ngay từ đầu rồi mà giờ lão Thắng mới ngộ ra hả ). Gần như không truy ra được vết đâu.
Còn khía cạnh bảo vệ mail server, thì đúng là dựng 1 con mail gateway trước Exchange rồi sử dụng bộ lọc spam là tốt nhất. Nó cũng làm được nhiều thứ như scan virus... này nọ. Một công đôi chuyện. 

Còn việc bị spam là là chuyện thường ngày mà, tránh làm sao khỏi. Và khi chưa có Mail Gateway thì tại sao không tận dụng IPS có tích hợp sẵn Anti spam trên đó để sử dụng?
 

thangdiablo wrote:

Còn việc bị spam là là chuyện thường ngày mà, tránh làm sao khỏi. Và khi chưa có Mail Gateway thì tại sao không tận dụng IPS có tích hợp sẵn Anti spam trên đó để sử dụng?
 

Lại nói chuyện IPS, quả là nên có vì ... nó là IPS. Mà tốt nhất là chỉ dùng nó như là 1 chú IPS.

Em cũng có 1 case như thế này, thỉnh ý các anh.
Mô hình kết nối:

Internet <-> Firewall_1 <-> [ SMTP-Gateway, MS ISA 2006 ] <-> IPS <-> Firewall_2 <-> [ Mailbackend (Exchange 2003 SP2), Web App ]

<note>
1. MS ISA 2006 dùng để public OMA, OWA
2. Ngoài dịch vụ SMTP trên SMTP-Gateway và HTTPS trên ISA được public ra ngoài Internt thì không còn dịch vụ nào được public ra ngoài.
</note>

Tình huống:
- Một người dùng bị đánh cắp tài khoản email, tài khoản vào Web App.

Câu hỏi:
1. Mô hình kết nối như trên theo các bác còn điểm nào chưa ổn không?
2. Có thể hay không việc: attacker truy cập thành công đến WebApp (ví dụ như thông qua bug của Exchange 2003. Giả như 1 ngày nào đó chú quản trị IPS phản chủ, disable mấy cái option đi - Hoặc giả IPS update không thành công)?. Nếu có thì các nhờ các bác chỉ giúp em nó là bug gì để nhà em biết cách fix.
3. Nếu bác nào ở đây khai thác được cái này rồi thì làm ơn liên hệ với em nhé. 

...

Mô hình kết nối:

Internet <-> Firewall_1 <-> [ SMTP-Gateway, MS ISA 2006 ] <-> IPS <-> Firewall_2 <-> [ Mailbackend (Exchange 2003 SP2), Web App ]

<note>
1. MS ISA 2006 dùng để public OMA, OWA
2. Ngoài dịch vụ SMTP trên SMTP-Gateway và HTTPS trên ISA được public ra ngoài Internt thì không còn dịch vụ nào được public ra ngoài.
</note>

...

Câu hỏi:
1. Mô hình kết nối như trên theo các bác còn điểm nào chưa ổn không?
2. Có thể hay không việc: attacker truy cập thành công đến WebApp (ví dụ như thông qua bug của Exchange 2003. Giả như 1 ngày nào đó chú quản trị IPS phản chủ, disable mấy cái option đi - Hoặc giả IPS update không thành công)?. Nếu có thì các nhờ các bác chỉ giúp em nó là bug gì để nhà em biết cách fix.
3. Nếu bác nào ở đây khai thác được cái này rồi thì làm ơn liên hệ với em nhé. 

Cám ơn anh Conmale đã trả lời.
- Câu hỏi 1: em chỉ muốn hỏi là về mặt topo như vậy tối ưu chưa ($ + tech). Em vẫn biết nếu policy cho các dòng traffic chạy qua không tốt thì chẳng có gì chịu được.
 

- Câu hỏi 2: của em focus vào tình huống em đã để trong <note> cộng với tình huống, cụ thể là khai thác Exchange 2003 SP2. 

Lại nói chuyện IPS, quả là nên có vì ... nó là IPS. Mà tốt nhất là chỉ dùng nó như là 1 chú IPS.

Em cũng có 1 case như thế này, thỉnh ý các anh.
Mô hình kết nối:

Internet <-> Firewall_1 <-> [ SMTP-Gateway, MS ISA 2006 ] <-> IPS <-> Firewall_2 <-> [ Mailbackend (Exchange 2003 SP2), Web App ]

<note>
1. MS ISA 2006 dùng để public OMA, OWA
2. Ngoài dịch vụ SMTP trên SMTP-Gateway và HTTPS trên ISA được public ra ngoài Internt thì không còn dịch vụ nào được public ra ngoài.
</note>

Tình huống:
- Một người dùng bị đánh cắp tài khoản email, tài khoản vào Web App.

Câu hỏi:
1. Mô hình kết nối như trên theo các bác còn điểm nào chưa ổn không?
2. Có thể hay không việc: attacker truy cập thành công đến WebApp (ví dụ như thông qua bug của Exchange 2003. Giả như 1 ngày nào đó chú quản trị IPS phản chủ, disable mấy cái option đi - Hoặc giả IPS update không thành công)?. Nếu có thì các nhờ các bác chỉ giúp em nó là bug gì để nhà em biết cách fix.
3. Nếu bác nào ở đây khai thác được cái này rồi thì làm ơn liên hệ với em nhé. 

1. Theo tui là không ổn.
- Nếu vì lý do gì đó mà IPS không hoạt động thì có nghĩa là nguyên cái mạng của bạn đi toi. IPS theo tui chỉ nên nằm ở nhánh, dạng span-port hoặc dùng chung với network tap.  

- Server không nên có cùng subnet dùng chung của 02 firewall mà nên dùng một subnet nào đó của Firewall_1. Trường hợp của bạn là phải đặt 02 ACL chỉ cho đám server DMZ. Theo khuyến cáo của tui thì chỉ dùng 01.

Mô hình:
Internet <-> Firewall_1 <-> Firewall_2 <-> backend servers
________________ |
____________ DMZ servers
 

..........
- Server không nên có cùng subnet dùng chung của 02 firewall mà nên dùng một subnet nào đó của Firewall_1. Trường hợp của bạn là phải đặt 02 ACL chỉ cho đám server DMZ. Theo khuyến cáo của tui thì chỉ dùng 01.

Mô hình:
Internet <-> Firewall_1 <-> Firewall_2 <-> backend servers
________________ |
____________ DMZ servers
 

giảm thiểu dung hại khi bị nhân nhượng 

Theo tôi trước backend server nên duy trì 1 IPS đứng án ngữ phía trước và phía sau nó nên là 1 hoặc vài Network IDS hoặc Hostbase IDS tùy vào nhu cầu thực tế.
Với mô hình phía trên nếu không có IPS đặt trường hợp attacker chiếm được DMZ Server nào đó. Và tất nhiên trong đám DMZ Server sẽ luôn có 1 hoặc vài connection hợp lệ để móc vào database của Server nằm trong BackEnd. Khi đó, nếu không có IPS thì một mình firewall sẽ không thể can thiệp vào phần payload có mỗi gói tin để xem nó có gì bất thường hay không. Kết quả là BE Srv vẫn có nguy cơ bị tiêu diệt.
Còn nếu, packet hợp lệ mà phần payload cũng hợp lệ, nhưng " hành động " kết nội có nhiều bất thường thì đã có em IDS đứng ra "nhiều chuyện" .  

Việc khai thác Exchange 2003 SP2 (hay là cái gì) hoàn toàn có thể được. Khai thác thế nào thì đó là chuyện khác. Tuy nhiên cái chính cần xác định là: cửa đến exchange và web app (cung cấp webmail) hoàn toàn mở rộng 

2. Có thể hay không việc: attacker truy cập thành công đến WebApp (ví dụ như thông qua bug của Exchange 2003. Giả như 1 ngày nào đó chú quản trị IPS phản chủ, disable mấy cái option đi - Hoặc giả IPS update không thành công)?. Nếu có thì các nhờ các bác chỉ giúp em nó là bug gì để nhà em biết cách fix.
 

Firewall về bản chất cũng chỉ là một software chạy trên một hardware. Đã là software do con người tạo ra thì thể nào cũng sẽ có lỗi. Kinh nghiêm cho thấy nơi nào mà có software chạy từ máy ATM cho đến vệ tinh nơi đó sẽ có bug và có thể trong số bug này sẽ có bug gây nguy hại đến an toàn của hệ thống.
 

thangdiablo wrote:

Còn việc bị spam là là chuyện thường ngày mà, tránh làm sao khỏi. Và khi chưa có Mail Gateway thì tại sao không tận dụng IPS có tích hợp sẵn Anti spam trên đó để sử dụng?
 

Lại nói chuyện IPS, quả là nên có vì ... nó là IPS. Mà tốt nhất là chỉ dùng nó như là 1 chú IPS.

Em cũng có 1 case như thế này, thỉnh ý các anh.
Mô hình kết nối:

Internet <-> Firewall_1 <-> [ SMTP-Gateway, MS ISA 2006 ] <-> IPS <-> Firewall_2 <-> [ Mailbackend (Exchange 2003 SP2), Web App ]

<note>
1. MS ISA 2006 dùng để public OMA, OWA
2. Ngoài dịch vụ SMTP trên SMTP-Gateway và HTTPS trên ISA được public ra ngoài Internt thì không còn dịch vụ nào được public ra ngoài.
</note>