[stalk:00156] Re: βパッチ公開しました(Re: snort のできなりパッチいりますか？)

[Koji Shikata <shikap@xxxxxxxxxxxx>]

┏━━━━┓┃宿┃泊┃施┃設┃の┃皆┃様┃へ┃朗┃報┃!!┃■楽天市場の■
┃楽 ● 天┃┗━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛■ノウハウが■
┃トラベル┃★インターネット宿泊予約を成功へと導きます!!  ■てんこもり■
┗━━━━┛★初心者でも簡単にはじめられ、管理できる。だから続けられる★
オンライン宿泊予約市場 　→　 http://www.rakuten.co.jp/travel/panf.html
------------------------------------------------------------------------


しかＰ＠バグがありませんように、です。

なんとか少しはまっとうなパッチができましたので、
β公開しました。
場所は
http://www.yk.rim.or.jp/~shikap/patch/
です。
＃こじまさん、(?)の削除、ありがとうございます。<(__)>
＃約束通り、今週中。(^-^)

前のばーたりパッチが、なんてことはないシグネチャの
ハードコーディングだったのに対し、今回のパッチは、
曲がりなりにもUNICODE文字列を解釈して、/\.のどれかを
発見したらメッセージを出力する、という形にしました。
ですから、誤検知がだいぶ少なくなるのではないかな、と
期待しています。

どうやって解釈させているかということについて。
UNICODE(UTF-8)は以下のような符号化を行います。(utf-8のmanより)
       0x00000000 - 0x0000007F:
           0xxxxxxx

       0x00000080 - 0x000007FF:
           110xxxxx 10xxxxxx

       0x00000800 - 0x0000FFFF:
           1110xxxx 10xxxxxx 10xxxxxx

       0x00010000 - 0x001FFFFF:
           11110xxx 10xxxxxx 10xxxxxx 10xxxxxx

       0x00200000 - 0x03FFFFFF:
           111110xx 10xxxxxx 10xxxxxx 10xxxxxx 10xxxxxx

       0x04000000 - 0x7FFFFFFF:
           1111110x 10xxxxxx 10xxxxxx 10xxxxxx 10xxxxxx 10xxxxxx
で、%??ではじまるコードを見つけたら、最初の??がどの符号化を用いている
か、というのを判別します。（１バイトか３バイトか、という意味）
＃snortオリジナルは、ここでUNICODE、と確認できた途端メッセージを
＃出していた、と思われます。
あとは、符号を解読して、/\.（１６進数でそれぞれ0x2f，0x5c，0x2e）に
相当する符号を確認したらメッセージを出力する、というアルゴリズムに
なっています。
今回のパッチは、上記符号化（１バイト〜６バイト）のうち、攻撃が可能と
されている２，３バイトと、余計なお世話として１バイトについて
チェックを行っています。
また、このスレッドを読まれた方はおわかりかと思いますが、妙な符号化に
ついては、私の仮説をそのままコーディングしました。こちらは２，３バイト
符号化の最終バイトのみ機能します。
というわけで、まっとうな符号化パターンの９種類、まっとうでない符号化
パターンの１２パターン、計２１パターンを判別する。・・・はずです。
あ、それと残りの符号化（４〜６バイト）にもすぐ対応できると思います。
ただ、４バイトエンコードではＮＴが反応しなかった、という報告もあった
ので、今回は見送りました。

できれば、皆さんに使ってみて欲しいと思っています。たぶんsnortが動く
もの（NT/2000はわかりませんが）すべてで使えると思います。
変わったコーディングはしてないし、そもそもできないし(^^;

ある程度、動作確認ができたところで、まずIDS-JPに投げます。
その後、できればsnort.orgに送りたいなぁ、と思っています。

動作確認をよろしくお願いします。
あーんど、UNICODEの謎な符号化についての情報もお待ちしてまーす(^^)

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　鹿田　幸治　　　　　　　Koji.Shikata
　　　E-Mail:shikap@xxxxxxxxxxxx
            :shikap@xxxxxxxxxxxx
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　カンタン！快速！便利！　毎日更新のインフォシーク不動産　チェック！
　　　　　 http://house.infoseek.co.jp/House/top?svx=971122