- ベストアンサー
PCからsnoopコマンド
MSBLASTワームに感染したＰＣを検索するため、TCP port 135番で通信しているＰＣについて調査したいのですが、ＳＵＮのsnoopコマンドと同等のコマンドがＰＣで実行できないものかと考えています。vectorとか探したんですがそれらしきものを探すことができませんでした。どこかにないでしょうか？
- ootsu
- お礼率60% (62/103)
- その他（インターネット接続・通信）
- 回答数2
- ありがとう数2
- みんなの回答 （2）
- 専門家の回答
質問者が選んだベストアンサー
パケットモニタでしたら私は「vigil」を使ってます。 シェアウェアですので時間の制限がありますが、一応使えます。
その他の回答 (1)
- 日吉 龍（@VDSL）
- ベストアンサー率68% (176/258)
もしMS.Blasterに感染したPCを検索するのが目的であれば、Microsoft謹製のツールを利用するのが一番いい手段だと思われます。 詳細は参考URLを参照ください。 どうしてもパケットをキャプチャしたい、ということであれば、Snort(http://www.snort.org)がお勧めです。 NIDSなので、条件を指定したキャプチャが可能です。 また、IDSとして使いこなすことが出来れば、MS.Blasterに感染しているPCの通信のみをキャプチャすることも出来るはずです。 ＃若干敷居は高いと思いますが.... あとは、Ethereal(http://www.ethereal.com/)なんかが人気があるようです。
お礼
そうそうsnortを探してたんですが名前を忘れてました。etherealは、あまり好みでなかったです。 >詳細は参考URLを参照ください。 パッチが未適用のPCかどうか判断するツールであって感染したPCを探す目的のツールではないのですよ。しかも全PCに対して実行して結果を一覧化するのはまた一苦労です。（MS社がBlasterに感染したPCを探す自社ツールを持っていないことは、MSサポートに確認済みです。） VDSLさんなら、どうやって利用するんでしょうか？
補足
お礼で間違いがありましたので訂正します。 http://support.microsoft.com/default.aspx?scid=kb;ja;827363 で、MS03-039が当っていないノードの一覧出せますね。失礼しました。 ＧＵＩ版もあるようです。 http://www.eeye.com/html/Research/Tools/RPCDCOM.html
お礼
すばやい回答ありがとうございました。助かりました。 vigilで、TCP135番だけキャプチャして、見事に感染PCを発見、駆除できました。vectorがもっと探しやすいといいんだけどね。 結構どころかものすごく使えますよ。アプリ別の必須ポートのサーチとかにも使えますね。最近のMSアプリは宣言してる以外のポートも使ってたりしますから。