b'\n_START_ARTICLE_\nSQL Slammer\n_START_SECTION_\nDetalhes t\xc3\xa9cnicos\n_START_PARAGRAPH_\nO worm foi baseado no c\xc3\xb3digo de prova de conceito demonstrado na Black Hat Briefings porDavid Litchfield, que inicialmente haviam descoberto a vulnerabilidade overflow de buffer que o worm explorou. \xc3\xa9 um pequeno peda\xc3\xa7o de c\xc3\xb3digo que gera endere\xc3\xa7os IP aleat\xc3\xb3rios e envia a si mesmo para esses endere\xc3\xa7os. Se um endere\xc3\xa7o selecionado pertence a um host que est\xc3\xa1 executando uma c\xc3\xb3pia n\xc3\xa3o publicada do Servi\xc3\xa7o de Resolu\xc3\xa7\xc3\xa3o do Microsoft SQL Server que esta ouvindo a porta UDP 1434, o anfitri\xc3\xa3o imediatamente torna-se infectado e come\xc3\xa7a a pulveriza\xc3\xa7\xc3\xa3o da Internet com mais c\xc3\xb3pias do worm._NEWLINE_Home\xc2\xa0PCs normalmente n\xc3\xa3o s\xc3\xa3o vulner\xc3\xa1veis a este v\xc3\xadrus, a menos que tenham o MSDE instalado. O worm \xc3\xa9 t\xc3\xa3o pequeno que n\xc3\xa3o cont\xc3\xa9m c\xc3\xb3digo para gravar a si mesmo para o disco, ele s\xc3\xb3 permanece na mem\xc3\xb3ria, e \xc3\xa9 f\xc3\xa1cil de remover. Por exemplo, a Symantec oferece um utilit\xc3\xa1rio de remo\xc3\xa7\xc3\xa3o (ver link externo abaixo), ou pode at\xc3\xa9 mesmo ser removido por reiniciar o SQL Server (embora a m\xc3\xa1quina dever\xc3\xa1 ser reinfectado imediatamente)._NEWLINE_O worm foi poss\xc3\xadvel gra\xc3\xa7as a um software de vulnerabilidade de seguran\xc3\xa7a no SQL Server relatada pela primeira vez pela Microsoft em 24 de julho de 2002. Um patch tinha sido dispon\xc3\xadvel a partir da Microsoft para seis meses antes do lan\xc3\xa7amento do worm, mas muitas instala\xc3\xa7\xc3\xb5es n\xc3\xa3o tinha sido corrigido, incluindo muitos na Microsoft._NEWLINE_A lentid\xc3\xa3o foi causada pelo colapso de in\xc3\xbameros roteadores sob o fardo extremamente alta bombardeio de tr\xc3\xa1fego de infectados servidores. Normalmente, quando o tr\xc3\xa1fego \xc3\xa9 muito alta para roteadores de manusear, os roteadores s\xc3\xa3o suposto para atrasar ou interromper temporariamente o tr\xc3\xa1fego de rede. Em vez disso, alguns roteadores caiu (tornou-se inutiliz\xc3\xa1vel), e o "pr\xc3\xb3ximo", roteadores, notamos que esses roteadores tinha parado e n\xc3\xa3o deve ser contactado (aka "removida da routing table"). Roteadores come\xc3\xa7ou a enviar avisos para esse efeito para outros roteadores eles sabiam. A inunda\xc3\xa7\xc3\xa3o de atualiza\xc3\xa7\xc3\xa3o da routing ta avisos causou alguns roteadores adicionais para falhar, para agravar o problema. Eventualmente, caiu roteadores mantenedores reiniciado-los, levando-os a anunciar o seu estado, levando a uma nova onda de atualiza\xc3\xa7\xc3\xb5es de tabela de roteamento. Logo, uma parcela significativa de largura de banda de Internet foi consumido por roteadores se comunicam umas com as outras para atualiza\xc3\xa7\xc3\xa3o de suas tabelas de roteamento, e comum o tr\xc3\xa1fego de dados mais lenta ou, em alguns casos, parou completamente. Ironicamente, porque o SQL Slammer worm foi t\xc3\xa3o pequeno em tamanho, \xc3\xa0s vezes era capaz de passar quando o tr\xc3\xa1fego leg\xc3\xadtimo n\xc3\xa3o foi._NEWLINE_Dois aspectos-chave contribuiu para o SQL Slammer r\xc3\xa1pida propaga\xc3\xa7\xc3\xa3o. O worm infectado novos anfitri\xc3\xb5es sobre os sem sess\xc3\xa3o UDP protocolo, e todo o worm (apenas 376 bytes) cabe dentro de um \xc3\xbanico pacote. Como resultado, cada host infectado poderia em vez de simplesmente "disparar e esquecer" pacotes", t\xc3\xa3o rapidamente quanto poss\xc3\xadvel (geralmente centenas por segundo).\n_START_SECTION_\nNotas\n_START_PARAGRAPH_\nN\xc3\xa3o h\xc3\xa1 conten\xc3\xa7\xc3\xa3o como a que encontrou "Slammer". No entanto, em termos de quem primeiro alertou o p\xc3\xbablico em geral, isto pode ser atribu\xc3\xaddo a Michael Bacarella, que postou uma mensagem para o Bugtraq de seguran\xc3\xa7a lista de discuss\xc3\xa3o intitulado "MS SQL WORM IS DESTROYING INTERNET BLOCK PORT 1434!". Este foi enviada \xc3\xa0s 07:11:41 UTC de 25 de janeiro de 2003. Ben Koshy \xc3\xa9 muitas vezes creditado como sendo o primeiro, na verdade a empresa que ele trabalhou para colocar para fora um comunicado de imprensa para esse efeito. no Entanto, o seu alerta de para o p\xc3\xbablico, enviados para o NTBugtraq lista de discuss\xc3\xa3o n\xc3\xa3o foi enviada \xc3\xa0s 10:28 UTC. Robert Boyle enviado um alerta para NTBugtraq \xc3\xa0s 08:35 UTC batendo Koshy, mas com atraso Bacarella. ISS, atrav\xc3\xa9s de Chris Rouland, enviou alertas \xc3\xa0s 11:54 UTC e de 11:56 UTC para o ISSForum e Vulnwatch listas de discuss\xc3\xa3o, respectivamente. Uma an\xc3\xa1lise lan\xc3\xa7ado pela Symantec, carimbo de data / hora 07:45 GMT, que dever\xc3\xa1 preceder a esses editais.'