Руткиты для UNIX

Xakep, номер #037, стр. 037-054-2

ADORE

Установка: ./configure; make all. Запуск: ./ava

h - спрятать файл

u - показать файл

r - выполнить как root

U - анистальнуть себя

R - дистанционный PID

i - сделать PID невидимым

v - сделать PID видимым

Как ты уже понял, бэкдор может прятать файл, процесс, анинсталить себя, выполнить от имени рута, ну и т.д.

lrk - Linux Root Kit

Да, могу сказать точно- об этом продукте слышали все. Многие rootkit'ы построены по его технологии. Написано это чудо Лордом Сомером. Компиляция: make. В этом рутките содержится уйма бэкдоров: chfn, chsh, crontab, du, find, ifconfig, inetd, killall, login, ls, nnetstat, passwd, pidof, ps, rshd, syslogd, tcpd, top, sshd и su.

Как видишь, список довольно впечатляет. Кроме того, в этот руткит входят сниффер (Linsniffer) и логклинер (wzap).

knark

Написан Creed'ом. Такой же модуль (LKM). Компиляция: make. Установка: insmod knark.o. После установки создает скрытую директорию /proc/knark. Имеет функции сокрытия файлов, модулей, удаленного выполнения команд, подмены netstat. Прога не требует особой практики подмены разных value'сов, как, например, Synapsys, и очень проста в освоении...

BACKDOOR

Чем отличаются rootkit'ы от backdoor'ов? По моему мнению руткиты - это набор прог или одна прога, но с несколькими функциями. А backdoor - это прога с одной функцией, например, модификация login'а, netstat'а, ifcongig'а, ну и т.д.

ulogin.c

Простая утилита, написанная Tragedy/Dor. Она поддерживает Linux, BSDI, FreeBSD, IRIX, SunOS и OSF. Думаю, объяснять ничего особо не надо - это прога изменяет login, давая тебе рута (конечно, без логов и записей в /etc/[master.]passwd). Для запуска следует установить свой пароль (define PASSWORD) и путь к login'у (_PATH_LOGIN), то есть еще перед компиляцией ты должен скопировать настоящую копию login'а, например, в /root/login, потом в _PATH_LOGIN указать то же самое и скомпилированный ulogin поместить в /bin/login.

bd.pl

Простейшая утилита, открывающая шелл на 33556 порту (по дефолту нужно изменить скаляр port). Чтобы задать пароль, нужно ввести команду make password, вставив нужные данные.

CGI Back

Прога, написанная OVERFLOW. Для установки жми /config.sh. Но прежде чем устанавливать, советую полазить в cgiback.c. С этой прогой поставляется и клиент. Usage: ./backdoorclient -h cgiback_host.

Прога защищена паролем и позволяет пробираться через множество фаерволлов, т.к. сама по себе является обычным CGI скриптом, а firewall'ы обычно не фильтруют доступ к 80 порту.

shadyshell.c

Обычный бэкдор. Открывает порт (по дефолту 1337) и запускает шелл с рутом. А ты, соответственно, коннектишься и наслаждаешься машиной... Но, думаю, легче прописать строчку в inetd.conf типа: 1337 stream tcp nowait root /bin/bash bash -i, чем использовать эту прогу...

Q

Написан Mixter'ом. Эта прога для удаленного доступа и/или редиректа с сильным шифрованием. Что-то вроде ssh. Перед установкой необходимо перейти в src/ и изменить Makefile и conf.h. По дефолту Makefile заточен под Linux. Алгоритм шифрования по дефолту: cast256. В конфиге довольно много