Hack-FAQ

Xakep, номер #047, стр. 047-068-3

Q: Я получил рута на одном компе, логи потер, руткит поставил, создал себе аккаунт с рутовыми правами, а на следующий день его (аккаунт) удалили. Как они узнали?

A: Если ты "потер" логи, то удивляться тут нечему, любой админ, заметив, что логи куда-то исчезли, заподозрит неладное. Если же ты все-таки не "тер" логи, а просто удалил оттуда записи о себе - другое дело. Теперь дальше. Сейчас очень популярно хранить логи не на самом компе, а на удаленном. Другими словами, есть некоторая машина, куда сливаются логи со всей сетки. Ты уверен, что в твоем случае это не так? Далее, не все пишется ТОЛЬКО в логи. Многие критические ошибки отправляются прямо на консоль к администратору. Поэтому, если во время взлома какой-нибудь процесс упал (core dump), то вполне вероятно, что админ увидел это сообщение. Ну и, наконец, самое последнее. Ты создал пользователя с 0 uid. В грамотно настроенной системе ежедневно/еженедельно/ежемесячно генерируется отчет. В нем, помимо всего прочего, иногда указывается, сколько в системе пользователей с uid=0. Плюс ко всему некоторые "глупые" сервисы, которые должны запускаться от рута, начинают ругаться, мол "this proccess is not owned by root", что опять же привлекает внимание.