하우리와 잉카인터넷이 함께 만든 Worm.SQL.Slammer 전용 진단, 치료 툴입니다.
하우리에 의하면 'Worm.SQL.Slammer'는 SQL 서버 1434 포트로 보내는 패킷은 단순 공격 기능만 있으나 이 패킷을 조금만 고치면 서버를 바로 다운시키는 변종 웜이 생길 위험이 있다고 합니다. 패킷 공격 내용을 바꾼 변종까지도 잡아내고 치료할 수 있다고 합니다.
윈도우NT/2000/XP에 설치하는 프리웨어입니다.
-----------------------------------------------------------
2002년 1월 25일 전세계 인터넷망을 마비시킨 웜바이러스 W32.Slammer(W32.SQLExp.Worm : 시만텍, SQL_Overflow : 안철수연구소, Worm.SQL.Slammer : 하우리)는 SQL 서버의 보안 허점을 이용해 1434 UDP 포트에 대량으로 패킷을 보내 서버를 다운시키며 급속히 퍼지고 있습니다.
1434 포트는 네트워크의 처음과 끝을 점검해서 SQL 서버끼리 실제로 데이터를 주고받았는지 확인하는데 쓰는 포트입니다. 이 기능을 'Resolution Service(확인 서비스)'라고 합니다.
이 웜이 공격하는 시스템은 'SQL 서버 2000'과 'SQL 서버 2000 Desktop Engine(MSDE, 데스크탑 엔진) 2000'입니다. 2002년 7월 24일 발견한 'Buffer Overruns in SQL Server 2000 Resolution Service Could Enable Code Execution' 취약점을 이용하여 감염시킵니다.
보통 웜처럼 '파일'로 저장돼 감염하는 것이 아니고 메모리에 떠있으면서 전파합니다. sqlservr 프로세스의 CPU 사용량을 작업 관리자로 확인하면 감염 전 CPU 사용량과 감염 후 CPU 사용량이 확연히 다릅니다.
SQL 서버 2000 서비스팩 SP3은 원래 'Database Components', 'Analysis Services Components', 'SQL Server 2000 Desktop Engine(MSDE)' 세 가지 독립 파일로 발표했습니다. 보물섬은 세 개 파일을 하나로 묶어 등록하고 개별 파일로도 등록합니다.
- Analysis Services Components : kor_sql2kasp3.exe
- SQL Server 2000 Desktop Engine(MSDE) : KOR_SQL2KDeskSP3.exe
- Database Components : kor_sql2ksp3.exe
SQL 서버 2000 서비스팩(SP3)은 윈도우98/Me/NT/2000/XP에 설치하는 프리웨어로 NT는 서비스팩 5 이상, 2000/XP는 서비스팩 1 이상 설치돼 있어야 합니다.
* W32.Slammer 예방과 감염 시스템 치료 *
1. 열려있는 1434 UDP 포트를 닫습니다. UDP 1434 포트를 막으면 SQL 서버 일부 서비스는 작동하지 않습니다. 도스 창을 열고 'netstat -an'를 입력하고 엔터키를 칩니다. 리스트에 'UDP 0.0.0.0:1434 *:*'라고 있으면 열려있다는 뜻입니다.
2. MS에서 2002년 10월 16일 보안 게시판에 발표한 MS02-061 패치를 설치합니다. 마이크로소프트 한국어 페이지에는 'SQL Server 웹 작업의 권한 상승(Q316333)'으로 나와 있습니다. Ssmslpcn.Dll, Dpmslpcn.Dll 파일 버전이 8.00.568이면 MS02-061 패치를 설치한 시스템입니다.
3. 최신 SQL 서버 서비스팩 3(SP3)를 설치합니다. SQL 서비스팩 3은 이전 서비스팩을 갖고 있습니다. SP1, SP2를 설치하지 않아도 SP3만 설치하면 됩니다. 또 MS02-061 패치까지 포함합니다.
4. 안철수연구소 발표한 감염 취약성 분석툴인 'Ahnlab Scanner for SQL_Overflow'와 모니터링 전용 툴인 'SQL_Overflow Detect'로 감염 여부를 확인하고 취약점을 분석합니다.
5. 하우리에서 발표한 'Slammer 전용 솔루션'을 설치합니다. 'Slammer 전용 솔루션'은 메모리에 계속 남아있는 웜을 치료하고 예방합니다. 슬래머 변종까지 막아내고 SQL 서버 특정 포트로 들어오고 나가는 패킷을 모두 차단해 웜이 다른 서버를 공격하며 퍼지는 것을 막습니다.
6. 위에 설명한 프로그램의 리뷰와 파일은 모두 보물섬에 있습니다.
댓글 없음:
댓글 쓰기