Visit our newest sister site!
Hundreds of free aircraft flight manuals
Civilian • Historical • Military • Declassified • FREE!


TUCoPS :: Linux :: Apps N-Z :: bt677.txt

SC Signature and HPING Signature





>From NANOG, again. Dumps of current exploit are below. I posted dumps to Snort lists
and expect a specific Snort sig shortly.

 
 James Edwards
 Routing and Security Administrator
 jamesh@cybermesa.com
 At the Santa Fe Office: Internet at Cyber Mesa
 
 
 ----- Original Message ----- 
: From: "Jason Frisvold" <friz@corp.ptd.net>
: To: <nanog@merit.edu>
: Sent: Friday, July 18, 2003 10:08 AM
: Subject: SC Signature and HPING Signature
: 
: For those interested, these are the packet dumps of all 4 protocols
: using HPing and the release ShadowChode exploit.
: 
: I'm told you can create the necessary IDS filters from this.. we're
: working on this now as well...  :)  I'm not an IDS expert, so I don't
: have the know-how to do this... yet..  :)
: 
: -----Forwarded Message-----
: From: Keith Pachulski
: 
: Output below is from both the SC code and hping performing the same as
: SC. Feel free to develop your signatures from it.
: 
: SC Exploit
: 11:59:59.014190 79.111.123.116 > dhcp9-1.noc.corp.ptd.net:  swipe 181
: 0x0000   4500 00c9 bf25 0000 0235 fe3b 4f6f 7b74        E....%...5.;Oo{t
: 0x0010   ccba 6301 0001 0203 0405 0607 0809 0a0b        ..c.............
: 0x0020   0c0d 0e0f 1011 1213 1415 1617 1819 1a1b        ................
: 0x0030   1c1d 1e1f 2021 2223 2425 2627 2829 2a2b        .....!"#$%&'()*+
: 0x0040   2c2d 2e2f 3031 3233 3435 3637 3839 3a3b        ,-./0123456789:;
: 0x0050   3c3d 3e3f 4041 4243 4445 4647 4849 4a4b        <=>?@ABCDEFGHIJK
: 0x0060   4c4d 4e4f 5051 5253 5455 5657 5859 5a5b        LMNOPQRSTUVWXYZ[
: 0x0070   5c5d 5e5f 6061 6263 6465 6667 6869 6a6b        \]^_`abcdefghijk
: 0x0080   6c6d 6e6f 7071 7273 7475 7677 7879 7a7b        lmnopqrstuvwxyz{
: 0x0090   7c7d 7e7f 8081 8283 8485 8687 8889 8a8b        |}~.............
: 0x00a0   8c8d 8e8f 9091 9293 9495 9697 9899 9a9b        ................
: 0x00b0   9c9d 9e9f a0a1 a2a3 a4a5 a6a7 a8a9 aaab        ................
: 0x00c0   acad aeaf b0b1 b2b3 b4                         .........
: 11:59:59.014402 dhcp9-1.noc.corp.ptd.net > 79.111.123.116: icmp:
: dhcp9-1.noc.corp.ptd.net protocol 53 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 00e5 80f8 0000 4001 fdc0 ccba 6301        E.......@.....c.
: 0x0010   4f6f 7b74 0302 df39 0000 0000 4500 00c9        Oo{t...9....E...
: 0x0020   bf25 0000 0235 fe3b 4f6f 7b74 ccba 6301        .%...5.;Oo{t..c.
: 0x0030   0001 0203 0405 0607 0809 0a0b 0c0d 0e0f        ................
: 0x0040   1011 1213 1415 1617 1819 1a1b 1c1d 1e1f        ................
: 0x0050   2021 2223 2425 2627 2829 2a2b 2c2d 2e2f        .!"#$%&'()*+,-./
: 0x0060   3031 3233 3435 3637 3839 3a3b 3c3d 3e3f        0123456789:;<=>?
: 0x0070   4041 4243 4445 4647 4849 4a4b 4c4d 4e4f        @ABCDEFGHIJKLMNO
: 0x0080   5051 5253 5455 5657 5859 5a5b 5c5d 5e5f        PQRSTUVWXYZ[\]^_
: 0x0090   6061 6263 6465 6667 6869 6a6b 6c6d 6e6f        `abcdefghijklmno
: 0x00a0   7071 7273 7475 7677 7879 7a7b 7c7d 7e7f        pqrstuvwxyz{|}~.
: 0x00b0   8081 8283 8485 8687 8889 8a8b 8c8d 8e8f        ................
: 0x00c0   9091 9293 9495 9697 9899 9a9b 9c9d 9e9f        ................
: 0x00d0   a0a1 a2a3 a4a5 a6a7 a8a9 aaab acad aeaf        ................
: 0x00e0   b0b1 b2b3 b4                                   .....
: 11:59:59.014380 36.71.143.53 > dhcp9-1.noc.corp.ptd.net: mobile: [] 
: (bad checksum 515)
: 0x0000   4500 00c9 fefc 0000 0237 d5c9 2447 8f35        E........7..$G.5
: 0x0010   ccba 6301 0001 0203 0405 0607 0809 0a0b        ..c.............
: 0x0020   0c0d 0e0f 1011 1213 1415 1617 1819 1a1b        ................
: 0x0030   1c1d 1e1f 2021 2223 2425 2627 2829 2a2b        .....!"#$%&'()*+
: 0x0040   2c2d 2e2f 3031 3233 3435 3637 3839 3a3b        ,-./0123456789:;
: 0x0050   3c3d 3e3f 4041 4243 4445 4647 4849 4a4b        <=>?@ABCDEFGHIJK
: 0x0060   4c4d 4e4f 5051 5253 5455 5657 5859 5a5b        LMNOPQRSTUVWXYZ[
: 0x0070   5c5d 5e5f 6061 6263 6465 6667 6869 6a6b        \]^_`abcdefghijk
: 0x0080   6c6d 6e6f 7071 7273 7475 7677 7879 7a7b        lmnopqrstuvwxyz{
: 0x0090   7c7d 7e7f 8081 8283 8485 8687 8889 8a8b        |}~.............
: 0x00a0   8c8d 8e8f 9091 9293 9495 9697 9899 9a9b        ................
: 0x00b0   9c9d 9e9f a0a1 a2a3 a4a5 a6a7 a8a9 aaab        ................
: 0x00c0   acad aeaf b0b1 b2b3 b4                         .........
: 11:59:59.014603 dhcp9-1.noc.corp.ptd.net > 36.71.143.53: icmp:
: dhcp9-1.noc.corp.ptd.net protocol 55 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 00e5 5815 0000 4001 3e0b ccba 6301        E...X...@.>...c.
: 0x0010   2447 8f35 0302 df39 0000 0000 4500 00c9        $G.5...9....E...
: 0x0020   fefc 0000 0237 d5c9 2447 8f35 ccba 6301        .....7..$G.5..c.
: 0x0030   0001 0203 0405 0607 0809 0a0b 0c0d 0e0f        ................
: 0x0040   1011 1213 1415 1617 1819 1a1b 1c1d 1e1f        ................
: 0x0050   2021 2223 2425 2627 2829 2a2b 2c2d 2e2f        .!"#$%&'()*+,-./
: 0x0060   3031 3233 3435 3637 3839 3a3b 3c3d 3e3f        0123456789:;<=>?
: 0x0070   4041 4243 4445 4647 4849 4a4b 4c4d 4e4f        @ABCDEFGHIJKLMNO
: 0x0080   5051 5253 5455 5657 5859 5a5b 5c5d 5e5f        PQRSTUVWXYZ[\]^_
: 0x0090   6061 6263 6465 6667 6869 6a6b 6c6d 6e6f        `abcdefghijklmno
: 0x00a0   7071 7273 7475 7677 7879 7a7b 7c7d 7e7f        pqrstuvwxyz{|}~.
: 0x00b0   8081 8283 8485 8687 8889 8a8b 8c8d 8e8f        ................
: 0x00c0   9091 9293 9495 9697 9899 9a9b 9c9d 9e9f        ................
: 0x00d0   a0a1 a2a3 a4a5 a6a7 a8a9 aaab acad aeaf        ................
: 0x00e0   b0b1 b2b3 b4                                   .....
: 11:59:59.014572 57.21.62.14 > dhcp9-1.noc.corp.ptd.net:  nd 181
: 0x0000   4500 00c9 bcb9 0000 024d 5450 3915 3e0e        E........MTP9.>.
: 0x0010   ccba 6301 0001 0203 0405 0607 0809 0a0b        ..c.............
: 0x0020   0c0d 0e0f 1011 1213 1415 1617 1819 1a1b        ................
: 0x0030   1c1d 1e1f 2021 2223 2425 2627 2829 2a2b        .....!"#$%&'()*+
: 0x0040   2c2d 2e2f 3031 3233 3435 3637 3839 3a3b        ,-./0123456789:;
: 0x0050   3c3d 3e3f 4041 4243 4445 4647 4849 4a4b        <=>?@ABCDEFGHIJK
: 0x0060   4c4d 4e4f 5051 5253 5455 5657 5859 5a5b        LMNOPQRSTUVWXYZ[
: 0x0070   5c5d 5e5f 6061 6263 6465 6667 6869 6a6b        \]^_`abcdefghijk
: 0x0080   6c6d 6e6f 7071 7273 7475 7677 7879 7a7b        lmnopqrstuvwxyz{
: 0x0090   7c7d 7e7f 8081 8283 8485 8687 8889 8a8b        |}~.............
: 0x00a0   8c8d 8e8f 9091 9293 9495 9697 9899 9a9b        ................
: 0x00b0   9c9d 9e9f a0a1 a2a3 a4a5 a6a7 a8a9 aaab        ................
: 0x00c0   acad aeaf b0b1 b2b3 b4                         .........
: 11:59:59.014837 dhcp9-1.noc.corp.ptd.net > 57.21.62.14: icmp:
: dhcp9-1.noc.corp.ptd.net protocol 77 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 00e5 8357 0000 4001 4f22 ccba 6301        E....W..@.O"..c.
: 0x0010   3915 3e0e 0302 df39 0000 0000 4500 00c9        9.>....9....E...
: 0x0020   bcb9 0000 024d 5450 3915 3e0e ccba 6301        .....MTP9.>...c.
: 0x0030   0001 0203 0405 0607 0809 0a0b 0c0d 0e0f        ................
: 0x0040   1011 1213 1415 1617 1819 1a1b 1c1d 1e1f        ................
: 0x0050   2021 2223 2425 2627 2829 2a2b 2c2d 2e2f        .!"#$%&'()*+,-./
: 0x0060   3031 3233 3435 3637 3839 3a3b 3c3d 3e3f        0123456789:;<=>?
: 0x0070   4041 4243 4445 4647 4849 4a4b 4c4d 4e4f        @ABCDEFGHIJKLMNO
: 0x0080   5051 5253 5455 5657 5859 5a5b 5c5d 5e5f        PQRSTUVWXYZ[\]^_
: 0x0090   6061 6263 6465 6667 6869 6a6b 6c6d 6e6f        `abcdefghijklmno
: 0x00a0   7071 7273 7475 7677 7879 7a7b 7c7d 7e7f        pqrstuvwxyz{|}~.
: 0x00b0   8081 8283 8485 8687 8889 8a8b 8c8d 8e8f        ................
: 0x00c0   9091 9293 9495 9697 9899 9a9b 9c9d 9e9f        ................
: 0x00d0   a0a1 a2a3 a4a5 a6a7 a8a9 aaab acad aeaf        ................
: 0x00e0   b0b1 b2b3 b4                                   .....
: 11:59:59.015060 43.53.57.126 > dhcp9-1.noc.corp.ptd.net: pim v0
: 0x0000   4500 00c9 2404 0000 0267 ff5b 2b35 397e        E...$....g.[+59~
: 0x0010   ccba 6301 0001 0203 0405 0607 0809 0a0b        ..c.............
: 0x0020   0c0d 0e0f 1011 1213 1415 1617 1819 1a1b        ................
: 0x0030   1c1d 1e1f 2021 2223 2425 2627 2829 2a2b        .....!"#$%&'()*+
: 0x0040   2c2d 2e2f 3031 3233 3435 3637 3839 3a3b        ,-./0123456789:;
: 0x0050   3c3d 3e3f 4041 4243 4445 4647 4849 4a4b        <=>?@ABCDEFGHIJK
: 0x0060   4c4d 4e4f 5051 5253 5455 5657 5859 5a5b        LMNOPQRSTUVWXYZ[
: 0x0070   5c5d 5e5f 6061 6263 6465 6667 6869 6a6b        \]^_`abcdefghijk
: 0x0080   6c6d 6e6f 7071 7273 7475 7677 7879 7a7b        lmnopqrstuvwxyz{
: 0x0090   7c7d 7e7f 8081 8283 8485 8687 8889 8a8b        |}~.............
: 0x00a0   8c8d 8e8f 9091 9293 9495 9697 9899 9a9b        ................
: 0x00b0   9c9d 9e9f a0a1 a2a3 a4a5 a6a7 a8a9 aaab        ................
: 0x00c0   acad aeaf b0b1 b2b3 b4                         .........
: 11:59:59.015239 dhcp9-1.noc.corp.ptd.net > 43.53.57.126: icmp:
: dhcp9-1.noc.corp.ptd.net protocol 103 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 00e5 65bf 0000 4001 7f2a ccba 6301        E...e...@..*..c.
: 0x0010   2b35 397e 0302 df39 0000 0000 4500 00c9        +59~...9....E...
: 0x0020   2404 0000 0267 ff5b 2b35 397e ccba 6301        $....g.[+59~..c.
: 0x0030   0001 0203 0405 0607 0809 0a0b 0c0d 0e0f        ................
: 0x0040   1011 1213 1415 1617 1819 1a1b 1c1d 1e1f        ................
: 0x0050   2021 2223 2425 2627 2829 2a2b 2c2d 2e2f        .!"#$%&'()*+,-./
: 0x0060   3031 3233 3435 3637 3839 3a3b 3c3d 3e3f        0123456789:;<=>?
: 0x0070   4041 4243 4445 4647 4849 4a4b 4c4d 4e4f        @ABCDEFGHIJKLMNO
: 0x0080   5051 5253 5455 5657 5859 5a5b 5c5d 5e5f        PQRSTUVWXYZ[\]^_
: 0x0090   6061 6263 6465 6667 6869 6a6b 6c6d 6e6f        `abcdefghijklmno
: 0x00a0   7071 7273 7475 7677 7879 7a7b 7c7d 7e7f        pqrstuvwxyz{|}~.
: 0x00b0   8081 8283 8485 8687 8889 8a8b 8c8d 8e8f        ................
: 0x00c0   9091 9293 9495 9697 9899 9a9b 9c9d 9e9f        ................
: 0x00d0   a0a1 a2a3 a4a5 a6a7 a8a9 aaab acad aeaf        ................
: 0x00e0   b0b1 b2b3 b4                                   .....
: 
: HPING
: 11:56:40.024194 dhcp9-52.noc.corp.ptd.net > dhcp9-1.noc.corp.ptd.net: 
: swipe 0
: 0x0000   4500 0014 9f64 0000 0235 b9a6 ccba 6334        E....d...5....c4
: 0x0010   ccba 6301 0000 0000 0000 0000 0000 0000        ..c.............
: 0x0020   0000 0000 0000 0000 0000 0000 0000             ..............
: 11:56:40.024731 dhcp9-1.noc.corp.ptd.net > dhcp9-52.noc.corp.ptd.net:
: icmp: dhcp9-1.noc.corp.ptd.net protocol 53 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 0030 29df 0000 4001 f083 ccba 6301        E..0)...@.....c.
: 0x0010   ccba 6334 0302 fcfd 0000 0000 4500 0014        ..c4........E...
: 0x0020   9f64 0000 0235 b9a6 ccba 6334 ccba 6301        .d...5....c4..c.
: 11:57:26.534797 dhcp9-52.noc.corp.ptd.net > dhcp9-1.noc.corp.ptd.net: 
: nd 0
: 0x0000   4500 0014 38fa 0000 024d 1ff9 ccba 6334        E...8....M....c4
: 0x0010   ccba 6301 0000 0000 0000 0000 0000 0000        ..c.............
: 0x0020   0000 0000 0000 0000 0000 0000 0000             ..............
: 11:57:26.534898 dhcp9-1.noc.corp.ptd.net > dhcp9-52.noc.corp.ptd.net:
: icmp: dhcp9-1.noc.corp.ptd.net protocol 77 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 0030 29e1 0000 4001 f081 ccba 6301        E..0)...@.....c.
: 0x0010   ccba 6334 0302 fcfd 0000 0000 4500 0014        ..c4........E...
: 0x0020   38fa 0000 024d 1ff9 ccba 6334 ccba 6301        8....M....c4..c.
: 11:57:39.829722 dhcp9-52.noc.corp.ptd.net > dhcp9-1.noc.corp.ptd.net:
: pim v0
: 0x0000   4500 0014 368f 0000 0267 224a ccba 6334        E...6....g"J..c4
: 0x0010   ccba 6301 0000 0000 0000 0000 0000 0000        ..c.............
: 0x0020   0000 0000 0000 0000 0000 0000 0000             ..............
: 11:57:39.829814 dhcp9-1.noc.corp.ptd.net > dhcp9-52.noc.corp.ptd.net:
: icmp: dhcp9-1.noc.corp.ptd.net protocol 103 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 0030 29e2 0000 4001 f080 ccba 6301        E..0)...@.....c.
: 0x0010   ccba 6334 0302 fcfd 0000 0000 4500 0014        ..c4........E...
: 0x0020   368f 0000 0267 224a ccba 6334 ccba 6301        6....g"J..c4..c.
: 11:57:52.245620 dhcp9-52.noc.corp.ptd.net > dhcp9-1.noc.corp.ptd.net:
: [|mobile]
: 0x0000   4500 0014 96be 0000 0237 c24a ccba 6334        E........7.J..c4
: 0x0010   ccba 6301 0000 0000 0000 0000 0000 0000        ..c.............
: 0x0020   0000 0000 0000 0000 0000 0000 0000             ..............
: 11:57:52.245699 dhcp9-1.noc.corp.ptd.net > dhcp9-52.noc.corp.ptd.net:
: icmp: dhcp9-1.noc.corp.ptd.net protocol 55 unreachable [tos 0xc0] 
: 
: 0x0000   45c0 0030 29e3 0000 4001 f07f ccba 6301        E..0)...@.....c.
: 0x0010   ccba 6334 0302 fcfd 0000 0000 4500 0014        ..c4........E...
: 0x0020   96be 0000 0237 c24a ccba 6334 ccba 6301        .....7.J..c4..c.
: 
: |Keith A. Pachulski, PPS, GCIH, GCFW | NSA IATF Member| FBI InfraGard
: Secure Member|
: |PenTeleData/Prolog Internet Services | Information Security & Privacy|
: |6B56 C8DC 6201 6D1A BFF5 5799 E193 ABAA 9549 74D0|
: |"In God We Trust - - - All Others We Monitor"|
: |--- United States Navy Intelligence|
: 
: -- 
: ---------------------------
: Jason H. Frisvold
: Backbone Engineering Supervisor
: Penteledata Engineering
: friz@corp.ptd.net
: RedHat Engineer - RHCE # 807302349405893
: Cisco Certified - CCNA # CSCO10151622
: MySQL Core Certified - ID# 205982910
: ---------------------------
: "Imagination is more important than knowledge.
: Knowledge is limited. Imagination encircles
: the world."
:       -- Albert Einstein [1879-1955]
: 
: 
: 
: 


TUCoPS is optimized to look best in Firefox® on a widescreen monitor (1440x900 or better).
Site design & layout copyright © 1986-2014 AOH