Adding old content "Scan MS08-067, Conficker, Regsvc dan SMBv2 DoS Dengan Nmap"

content/archives/2012/09/_index.id.md

@@ -0,0 +1,3 @@
+---
+title: Sep
+---

content/archives/2012/09/_index.md

@@ -0,0 +1,3 @@
+---
+title: Sep
+---

content/blog/scan-ms08-067-conficker-regsvc-dan-smbv2-dos-dengan-nmap/index.id.md

@@ -0,0 +1,79 @@
+---
+title: "Scan MS08-067, Conficker, Regsvc dan SMBv2 DoS Dengan Nmap"
+description: "Contoh perintah Nmap untuk melakukan scan MS08-067 Vulnerability, Conficker, Regsvc dan SMBv2 Denial of Service."
+date: 2012-09-08T18:46:55+07:00
+lastmod:
+draft: false
+noindex: false
+featured: false
+pinned: false
+# comments: false
+series:
+#  - 
+categories:
+  - Security
+tags:
+  - Nmap
+  - Conficker
+  - MS08-067
+  - SMB
+images:
+#  - 
+# menu:
+#   main:
+#     weight: 100
+#     params:
+#       icon:
+#         vendor: bs
+#         name: book
+#         color: '#e24d0e'
+authors:
+  - ditatompel
+---
+
+Sebagai pengguna komputer, khususnya seorang sistem administrator, melakukan pengecekan *vulnerability* sangatlah penting. Jika tidak dilakukan dapat menimbulkan kerugian yang serius karena *virus*/*worm* yang digunakan oleh *malicious hacker* yang memanfaatkan celah keamanan tersebut.
+
+<!--more-->
+
+Saya asumsikan bahwa Nmap telah terinstall dengan *scripting engine* `smb-check-vulns`.
+
+Contoh berikut ini adalah perintah untuk melakukan scan alamat IP `114.56.xxx.xx` pada port `445`. Anda perlu mengganti `114.56.xxx.xx` dengan alamat IP yang ingin Anda cek.
+
+```bash
+nmap -T insane --script smb-check-vulns.nse -p 445 114.56.xxx.xx
+```
+
+Dari perintah di atas, Anda akan mendapatkan output kurang lebih seperti berikut :
+```plain
+Starting Nmap 5.00 ( http://nmap.org ) at 2010-03-08 06.20 WIT
+Interesting ports on 114.56.xxx.xx:
+PORT STATE SERVICE
+445/tcp open microsoft-ds
+Host script results:
+| smb-check-vulns:
+| MS08-067: FIXED (likely by Conficker)
+|_ Conficker: Likely INFECTED (by Conficker.C or lower)
+Nmap done: 1 IP address (1 host up) scanned in 7.08 seconds
+```
+
+Dapat Anda lihat bahwa pada celah keamanan [MS08-067](http://www.microsoft.com/technet/security/bulletin/ms08-067.mspx) pada host tersebut telah *fixed* (tertutup) karena terinfeksi **Conficker**. Anda dapat mendownload [Kido Killer](http://support.kaspersky.com/faq/?qid=208279973) yang dibuat oleh **Kaspersky** pada host yang terinfeksi **Conficker**.
+
+Sedikit penjelasan lebih detail dari hasil scan Nmap diatas :
+
+## MS08-067
+Pengecekan apakah host memiliki celah keamanan `MS08-067`. Sebuah celah keamanan **RPC** pada **Windows** yang memungkinkan *malicious user* untuk melakukan **Remote Code Execution** (**RCE**).
+
+Perlu diperhatikan bahwa melakukan pengecekan **MS08-067** sangat berbahaya karena dapat membuat sistem menjadi *hang* / *crash*. Namun celah **MS08-067** sangatlah penting (wajib) ditutup.
+
+[Metasploit](http://www.metasploit.com/) telah lama memiliki [ms08_067_netapi exploit](http://metasploit.com/svn/framework3/trunk/modules/exploits/windows/smb/ms08_067_netapi.rb) untuk celah ini dan berjalan lancar terhadap sistem yang memiliki celah keamanan tersebut.
+
+## Conficker
+Pengecekan apakah host terinfeksi oleh **Conficker**. Pengecekan ini berdasarkan program *conficker scanner* yang dapat ditemukan di [http://iv.cs.uni-bonn.de/wg/cs/applications/containing-conficker](http://iv.cs.uni-bonn.de/wg/cs/applications/containing-conficker).
+
+## regsvc DoS
+Pengecekan apakah dapat memanfaatkan celah yang mengakibatkan *service* `regsvc` *crash* yang disebabkan karena **null pointer dereference**. Jika celah tersebut ada, menjalankan pengecekan ini akan menyebabkan service tersebut *crash* (meskipun perlu guest account atau lebih tinggi agar dapat bekerja).
+
+## MBv2 DoS
+Melakukan DoS pada celah keamanan [CVE-2009-3103](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3103) (menyebabkan *bluescreen* jika berhasil). Berkerja pada **Windows Vista** dan beberapa versi **Windows 7**.
+
+POC source code dapat ditemui di [http://seclists.org/fulldisclosure/2009/Sep/0039.html](http://seclists.org/fulldisclosure/2009/Sep/0039.html).