| [Question] Avast báo DCOM exploit |
08/11/2009 11:51:33 (+0700) | #1 | 197840 |
laocoi
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 06/11/2009 23:38:54
Messages: 3
Offline
|
|
Xin chào mọi người
Máy mình cài avast và comodo. Không hiểu sao dạo gần đây avast hay báo là có người muốn tấn công vào máy mình thông qua lỗi DCOM (port 135), mặc dù mình đã tắt cổng 135 rồi.
Khi dùng nmap quét thử các IP mà avast thông báo thì thấy từ các chỗ khác nhau, khi thì viettel lúc lại từ một chỗ nào đó ở Nhật.
Code:
Interesting ports on pa29596.tokynt01.ap.so-net.ne.jp (115.162.149.150):
Not shown: 997 closed ports
PORT STATE SERVICE
135/tcp open msrpc
1025/tcp open NFS-or-IIS
5000/tcp open upnp
Mong mọi người tư vấn giúp.
Cảm ơn |
|
|
 |
|
| [Question] Avast báo DCOM exploit |
08/11/2009 21:10:04 (+0700) | #2 | 197852 |
![[Avatar]](/hvaonline/images/avatar/a056749f32501d21492f749ecb188db8.png "[Avatar]")
|
holiganvn
Member
|
|
0 |
|
|
Joined: 08/05/2009 19:29:45
Messages: 370
Location: Cố Đô Huế
Offline
|
|
chào bạn laocoi,mình thấy trong kết quả báo của nmap,mình thấy rằng ở cổng 135 đang chạy dịch vụ msRPC,xin nói 1 tí về RPC:
-Remote Procedure Call (RPC) là một giao thức được sử dụng bởi hệ điều hành Windows. RPC cung cấp một cơ chế liên quan quá trình giao tiếp cho phép một chương trình chạy trên một máy tính dễ dàng thực thi mã trên một hệ thống từ xa.Có một lỗ hổng trong một phần của RPC khi trao đổi tin nhắn qua TCP / IP. Giao diện DCOM xử lý yêu cầu kích hoạt đối tượng đó được gửi bằng máy khách đến máy chủ. Một kẻ tấn công sẽ khai thác lỗ hổng này để cho phép chạy mã độc trên hệ thống trên một hệ thống.
- Để khai thác lỗ hổng này, kẻ tấn công đòi hỏi phải có khả năng gửi một yêu cầu đặc biệt đến cổng 135, 139, hoặc 445 hay bất kỳ cấu hình cụ thể khác RPC cổng trên máy từ xa.
QUÉT ĐỂ TÌM THẤY HỆ THỐNG BỊ LỖI:
TẤN CÔNG:
-chặn tất cả các cổng TCP / IP bạn không sử dụng, vào đây để tìm hiểu thêm về bảo mật cho RPC:
http://msdn.microsoft.com/en-us/library/aa379441(VS.85).aspx |
|
HaCk t0 LeArN,N0t LeArN t0 HaCk
|
|
|
|
| [Question] Avast báo DCOM exploit |
09/11/2009 06:08:21 (+0700) | #3 | 197880 |
laocoi
Member
|
|
0 |
|
|
Joined: 06/11/2009 23:38:54
Messages: 3
Offline
|
|
Cảm ơn holiganvn, như ở trên mình nói, cổng 135 mình đã đóng lại trên máy của mình, còn thông tin mình đưa ra đó là do mình thử nmap IP mà avast thông báo là đang tấn công vào máy của mình. Mình thắc mắc ở chỗ là không biết có phải có chương trình nào chạy ngầm trong máy của mình để yêu cầu một máy ở đâu đó tấn công vào máy mình không? hay là tấn công ngẫu nhiên.
Do mình sử dụng 1 line adsl riêng nên việc ai đó trong mạng nội bộ tấn công là không có, khi lên cty thì không xảy ra hiện tượng này.
Mình nói thêm là máy mình chạy winxp sp3 (đã tắt firewall mặc định của window và thay bằng comodo), không sử dụng các chương trình dạng P2P
Thân |
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận bảo mật
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[Avatar]](/hvaonline/images/avatar/3099a4ec6dc1da1e77c1b4070c7aa9b8.jpg "[Avatar]")
![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")