Re: [apache-rus] apache 1.3.24+mod_charset AND worm

[Maxim Kozin <madmax@xxxxxxxxxx>]

> > Получается, что для worm-а достаточно что-бы ОДИН виртуальный сервер (по
> > карйней мере в схеме с namebased) был с "CharsetDiable on" в root-е.
> > Так ?
> 
> Там, кажется, другая жопа имеет место быть. Если запрос был http/1.1,
> то body читается и для get. 
> 
> Я правильно понимаю, что exploit наливается таки в body, а не в
> transfer-encoding ?
Не только в боди, скажем так.

Был не совсем корректен в первом письме:
worm вначале производит scan - после чего появляется запись про RFC.
А вот затем уже кидает exploit.
Подрбный анализ есть то-ли freebsd-security, то-ли в бугтраке.
Но примерно exploit шлет следущее
http://www.idefense.com/idtools/Apache%20Worm.txt
(или если интересно - то в атаче есть в бинарном виде но общаяя идея
та-же)

Сам код worm-а тут:
http://dammit.lt/apache-worm/apache-worm.c

b.r.
 maxes


=============================================================================
=               Apache-Rus@xxxxxxxxxxxxx mailing list                       =
Mail "unsubscribe apache-rus" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://apache.lexa.ru/mail-archive             =