SQL-тюрьма

SQL-тюрьма
SQL-тюрьма
Тип	Компьютерный червь
Источник	2003
Технические детали
Платформа	Microsoft Windows

SQL-тюрьма ^[а] , выпущенный в 2003 году компьютерный червь , который вызывал отказ в обслуживании на некоторых узлах Интернета и резко замедлял общий интернет-трафик . Это также привело к сбоям в работе маршрутизаторов по всему миру, что привело к еще большему замедлению работы. Он быстро распространился, заразив большинство из 75 000 жертв в течение 10 минут.

Программа использовала ошибку переполнения буфера в продуктах баз данных Microsoft SQL Server и Desktop Engine . Хотя MS02-039 (CVE-2002-0649) ^[2] патч был выпущен шестью месяцами ранее, многие организации еще не применили его.

Наиболее зараженными регионами были Европа, Северная Америка и Азия (включая Восточную Азию и Южную Азию (Индию)) и т. д. ^[3]

Технические детали

Червь был основан на экспериментальном коде, продемонстрированном на брифинге Black Hat Дэвидом Личфилдом , который изначально обнаружил уязвимость переполнения буфера, которую использовал червь. ^[4] Это небольшой фрагмент кода, который мало что делает, кроме генерации случайных IP-адресов и отправки себя на эти адреса. Если выбранный адрес принадлежит хосту, на котором запущена непропатченная копия службы разрешения Microsoft SQL Server, прослушивающая UDP-порт 1434, хост немедленно заражается и начинает забрасывать Интернет новыми копиями программы-червя.

Домашние компьютеры , как правило, не уязвимы для этого червя, если на них не установлен MSDE. Червь настолько мал, что не содержит кода для записи на диск, поэтому он остается только в памяти и его легко удалить. Например, Symantec предоставляет бесплатную утилиту удаления, или ее даже можно удалить, перезапустив SQL Server (хотя компьютер, скорее всего, будет немедленно повторно заражен).

Использование червя стало возможным благодаря уязвимости безопасности программного обеспечения в SQL Server, о которой впервые сообщила Microsoft 24 июля 2002 года. Исправление было доступно от Microsoft за шесть месяцев до запуска червя, но многие установки так и не были исправлены, в том числе многие в Microsoft. . ^[5]

Червя начали замечать утром 25 января 2003 года. ^[б] поскольку это замедлило работу систем по всему миру. Замедление было вызвано выходом из строя многочисленных маршрутизаторов под бременем чрезвычайно высокого бомбардировочного трафика с зараженных серверов. Обычно, когда трафик слишком велик для обработки маршрутизаторами, предполагается, что маршрутизаторы задерживают или временно останавливают сетевой трафик. Вместо этого некоторые маршрутизаторы выходили из строя (приходили в негодность), и «соседние» маршрутизаторы замечали, что эти маршрутизаторы остановились и с ними не следует связываться (так называемое «удаление из таблицы маршрутизации »). Маршрутизаторы начали рассылать уведомления об этом другим маршрутизаторам, о которых они знали. Поток уведомлений об обновлении таблицы маршрутизации привел к сбою некоторых дополнительных маршрутизаторов, что усугубило проблему. В конце концов специалисты по обслуживанию вышедших из строя маршрутизаторов перезапустили их, заставив их объявить о своем статусе, что привело к новой волне обновлений таблиц маршрутизации. Вскоре значительная часть пропускной способности Интернета была использована маршрутизаторами, взаимодействующими друг с другом для обновления своих таблиц маршрутизации, а обычный трафик данных замедлился, а в некоторых случаях вообще прекратился. Поскольку червь SQL Slammer был настолько мал по размеру, иногда ему удавалось пройти, когда законного трафика не было.

Два ключевых аспекта способствовали быстрому распространению SQL Slammer. Червь заражал новые хосты по бессеансовому протоколу UDP , а весь червь (всего 376 байт) умещался в одном пакете. ^[10]^[11] В результате каждый зараженный хост мог просто «выпустить и забыть» пакеты как можно быстрее.

Примечания

^ Другие названия включают W32.SQLExp.Worm, DDOS.SQLP1434.A, Sapphire Worm, SQL_HEL, W32/SQLSlammer и Helkern. ^[1]
^ сообщение Публичное раскрытие информации началось с того, что Майкл Бакарелла разместил в списке рассылки по безопасности Bugtraq под названием «ЧЕРВЬ MS SQL УНИЧТОЖАЕТ ИНТЕРНЕТ-БЛОК-ПОРТ 1434!» ^[6] в 07:11:41 UTC 25 января 2003 г. Аналогичные отчеты были опубликованы Робертом Бойлом в 08:35 UTC. ^[7] и Бен Коши в 10:28 UTC ^[8] Ранний анализ, опубликованный Symantec, имеет отметку времени 07:45 по Гринвичу. ^[9]

Ссылки

^ «Symantec W32.SQLExp.Worm» . Архивировано из оригинала 10 ноября 2006 года.
^ «CVE-CVE-2002-0649» . cve.mitre.org . Проверено 7 сентября 2023 г.
^ Мескита, Тай (12 февраля 2020 г.). «Вирус SQL Slammer (предвестник грядущих событий)» . КиберХут .
^ Лейден, Джон (6 февраля 2003 г.). «Slammer: Почему безопасность выигрывает от проверки концептуального кода» . Зарегистрируйтесь . Проверено 29 ноября 2008 г.
^ «Майкрософт тоже атакован червем» . Проводной .
^ Бакарелла, Майкл (25 января 2003 г.). «ЧЕРВЬ MS SQL УНИЧТОЖАЕТ ИНТЕРНЕТ-БЛОК ПОРТА 1434!» . Багтрак . Проверено 29 ноября 2012 г.
^ Бойл, Роберт (25 января 2003 г.). «Душевное спокойствие через честность и проницательность» . Архив Неохапсиса. Архивировано из оригинала 19 февраля 2009 года . Проверено 29 ноября 2008 г.
^ Коши, Бен (25 января 2003 г.). «Душевное спокойствие через честность и проницательность» . Архив Неохапсиса. Архивировано из оригинала 19 февраля 2009 года . Проверено 29 ноября 2008 г.
^ «Анализ червей SQLExp SQL Server» (PDF) . Анализ угроз системы управления угрозами DeepSight™. 28 января 2003 г. Архивировано из оригинала (PDF) 7 марта 2003 г.
^ Мур, Дэвид; и др. «Распространение сапфирового/тюремного червя» . CAIDA (Кооперативная ассоциация анализа данных в Интернете) .
^ Серацци, Джузеппе; Занеро, Стефано (2004). «Модели распространения компьютерных вирусов» (PDF) . В Кальзароссе Мария Карла; Геленбе, Эрол (ред.). Инструменты повышения производительности и приложения для сетевых систем . Конспекты лекций по информатике. Том. 2965. стр. 26–50.

Внешние ссылки

Новости

BBC NEWS Технологическая вирусоподобная атака поразила веб-трафик
Червь MS SQL Server сеет хаос
Wired 11.07: Хлопнул! Объяснение непрофессионалом кода Slammer.

Объявление

Бюллетень по безопасности Microsoft MS02-039 и исправление
«Рекомендация CERT CA-2003-04: Серверный червь MS-SQL» . Институт программной инженерии Университета Карнеги-Меллона . Архивировано из оригинала 1 февраля 2003 года . Проверено 22 сентября 2019 г. {{cite web}}: CS1 maint: неподходящий URL ( ссылка )
Ответ Symantec Security Response — W32.SQLExp.Worm

Анализ

Внутри Slammer Worm Журнал IEEE Security and Privacy, Дэвид Мур, Верн Паксон, Стефан Сэвидж, Коллин Шеннон, Стюарт Стэнифорд и Николас Уивер

Технические детали

Код червя, дизассемблированный на Wayback Machine (архивировано 22 июля 2011 г.)
Множественные уязвимости в Microsoft SQL Server - Институт программной инженерии Карнеги-Меллона

[2] Другие названия включают W32.SQLExp.Worm, DDOS.SQLP1434.A, Sapphire Worm, SQL_HEL, W32/SQLSlammer и Helkern. ^[1]

[11] сообщение Публичное раскрытие информации началось с того, что Майкл Бакарелла разместил в списке рассылки по безопасности Bugtraq под названием «ЧЕРВЬ MS SQL УНИЧТОЖАЕТ ИНТЕРНЕТ-БЛОК-ПОРТ 1434!» ^[6] в 07:11:41 UTC 25 января 2003 г. Аналогичные отчеты были опубликованы Робертом Бойлом в 08:35 UTC. ^[7] и Бен Коши в 10:28 UTC ^[8] Ранний анализ, опубликованный Symantec, имеет отметку времени 07:45 по Гринвичу. ^[9]

[1] «Symantec W32.SQLExp.Worm» . Архивировано из оригинала 10 ноября 2006 года.

[3] «CVE-CVE-2002-0649» . cve.mitre.org . Проверено 7 сентября 2023 г.

[4] Мескита, Тай (12 февраля 2020 г.). «Вирус SQL Slammer (предвестник грядущих событий)» . КиберХут .

[5] Лейден, Джон (6 февраля 2003 г.). «Slammer: Почему безопасность выигрывает от проверки концептуального кода» . Зарегистрируйтесь . Проверено 29 ноября 2008 г.

[6] «Майкрософт тоже атакован червем» . Проводной .

[7] Бакарелла, Майкл (25 января 2003 г.). «ЧЕРВЬ MS SQL УНИЧТОЖАЕТ ИНТЕРНЕТ-БЛОК ПОРТА 1434!» . Багтрак . Проверено 29 ноября 2012 г.

[8] Бойл, Роберт (25 января 2003 г.). «Душевное спокойствие через честность и проницательность» . Архив Неохапсиса. Архивировано из оригинала 19 февраля 2009 года . Проверено 29 ноября 2008 г.

[9] Коши, Бен (25 января 2003 г.). «Душевное спокойствие через честность и проницательность» . Архив Неохапсиса. Архивировано из оригинала 19 февраля 2009 года . Проверено 29 ноября 2008 г.

[10] «Анализ червей SQLExp SQL Server» (PDF) . Анализ угроз системы управления угрозами DeepSight™. 28 января 2003 г. Архивировано из оригинала (PDF) 7 марта 2003 г.

[12] Мур, Дэвид; и др. «Распространение сапфирового/тюремного червя» . CAIDA (Кооперативная ассоциация анализа данных в Интернете) .

[13] Серацци, Джузеппе; Занеро, Стефано (2004). «Модели распространения компьютерных вирусов» (PDF) . В Кальзароссе Мария Карла; Геленбе, Эрол (ред.). Инструменты повышения производительности и приложения для сетевых систем . Конспекты лекций по информатике. Том. 2965. стр. 26–50.

[а]

[2]

[3]

[4]

[5]

[б]

[10]

[11]

[1]

[6]

[7]

[8]

[9]