科来：IPS设备误报案例分析

时间：2015-05-26 14:13:43 来源：通信产业网 点击量：306

　　案例背景

　　根据IPS上报的日志发现，每周某网站服务器都会上报由内到外发起的Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出(APSB11-24)攻击，数量非常多。用户不能确定是否存在问题。

　　Adobe Acrobat(10.1)和Reader(10.0.1) 及更早版本的 Windows 和 Macintosh 版，在实现上存在远程代码执行漏洞，远程攻击者可利用此漏洞执行任意代码，属于应用程序漏洞。

　　案例分析

　　我们对IPS上报该问题最严重主机(183.16.212.65)的进行详细分析。发现该IP的访问时段比较集中，主要发生在夜间和凌晨。我们下载数据包对其进行精细分析。

查看TCP会话视图发现，183.16.212.65与内部服务器通讯的TCP会话，全部是由183.16.212.65发起连接，访问服务器的80端口(如上图)。所以IPS上报的由内到外的攻击是属于误报。通过查看HTTP请求日志发现，183.16.212.65主机请求的全部是http://www.XXXXX.com/xxxxx 137.pdf。通过查看交易时序图，可以发现每个TCP会话中我们都能够看到很多TTL值与正常通讯数据包存在差异的RST(重置)数据包，说明在数据传输的过程中该链接被IPS阻断掉了，而在1318秒之后，客户端又会继续请求该链接，该过程会重复多次。

　　由于该漏洞是针对于Adobe的应用程序的漏洞，所以对内部服务器的影响不大，为了排除内部网站服务器被恶意控制的可能性，我们再来分析被请求的文件是否正常，我们下载了该文件，并且对其进行病毒查杀，并未发现任何异常。

　　我们又下载了几个上报该问题IP的数据包分析，发现其它IP多是对该网站的爬站行为，请求到http://www.XXXXX.com/xxxxx 137.pdf链接时发生报警。

　　为了验证IPS的上报准确性，我们下载该文件，查看IPS的处理行为。发现IPS上报由内到外的(APSB11-24)Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出攻击，目的地址为1.203.32.11(本机IP地址)。而我们的操作仅仅是从外网正常的下载了正常的文件，所以证明该项警报为误报。

　　分析结论及建议

　　经过上述分析，我们认为该行为是正常的下载PDF文件的行为，由于该PDF文件编码中可能含有和该攻击特征值相同的字段，所以IPS会误报为(APSB11-24)Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出攻击，并且对其进行了阻断，被阻断后客户端因某种原因继续请求该文件，所以IPS对该攻击的上报次数非常多。

　　向IPS设备厂家核实该警报的特征库，是否有更新的特征库，如果有更新对IPS进行升级;修改IPS策略，把阻断行为改为警告。由于该漏洞是应用程序漏洞，即使请求该链接也只是普通的文件下载，不会对服务器造成影响。