Руткиты для UNIX

Xakep, номер #037, стр. 037-054-3

интересных вещей, расписывать все тонкости долго, лучше читай доки. Компиляция: make, здесь сразу попросят ввести server key, его можно потом изменить с помощью mkpass. Использование: ./Q [source port]. Устанавливаем: ./Q localhost 12345. При установке по умолчанию порт - 12345 (можно изменить в conf.h). Key: вводим ключ. И получаем шелл... Но сразу говорю, прога имеет кучу не менее интересных функций, читай доки :).

SPECIAL

Как ты уже понял, rootkit'ы существуют для разных систем, в том числе и для Windows. Но есть rootkit'ы, предназначенные для демонов/сервисов. Понятное дело, что в Инете их сотни :), вот лишь несколько примеров:

Falcon SSH

Два rootkit'а для ssh. Первый из них запускает копию sshd по "левому" порту, давая тебе возможность логиниться с любых аккаунтов, в том числе и с root'а, причем руткит еще и вырубает все логи. Второй создает лишь левый аккаунт, конечно, с отключенными логами. Но учти, что ты должен позаботиться о wtmp/utmp и .bash_history, ну и о других логах :).

POP3Troyan

Эта прога написана Formatez'ом. Для установки набирай make. Потом, при коннекте на 110 порт (pop3), набирай fuck и получишь шелл :).

WU-FTPD-TROYAN

Backdoor, написанный Axess'ом для WU-FTPD (также известен своей дырявостью, хотя все мы не без греха...). Компиляция: ./configure; make. После установки нужно залогиниться как anonymous_ и тут же наслаждаться рут-шеллом :).

APACHE TROYAN

Троян, написанный для популярного веб-сервера APACHE. Прежде чем приступать к компиляции, нужно немного подправить файл troyan.h. Обрати внимание на переменные PATH_TO_HTTPD, EVIL_URL, SUID_CODE. Потом нужно скопировать troyan.h, first[second].diff в /src/main и пропатчить:

patch -p0 < first.diff http_protocol.c

patch -p0 < second.diff http_core.c

А затем запустить: ./simple port. И на порту port будет открыт шелл. Теперь коннектимся на www и отправляем запрос GET :PORT (без пробелов). Как утверждает автор, нужно вводить именно IP, а не hostname, так как чувак поленился написать функцию resolver'а :).

THE END

Вот в принципе и все. Думаю, теперь ты понял, что вредоносный код есть почти для всех систем и демонов/сервисов. Но не надо забывать, что все это - магические ключи, которые без проблем помогут тебе укрепиться в системе. Есть проги, выявляющие руткиты (например, chkrootkit, KLM, etc.), софт типа tripwire, да и не все rootkit'ы стирают логи :). А у некоторых админов есть и дополнительные средства логирования, и тогда rootkit'ы бессильны. Так что всегда будь бдителен, доверяй только своей голове и интуиции, а не стороннему "магическому" софту...