Разоблачение хакера

Master-lame-master

Xakep, номер #061, стр. 061-052-4

Что выдало хакера при взломе?

1. Хакер забыл изучить процессы, крутящиеся на машине. Непростительная оплошность, поскольку даже самый простой детектор атак может выдать взломщика.

2. Хакер не изучил syslog. Просмотр /etc/syslog.conf необходимо делать всегда, поскольку важная информация может высылаться как на e-mail, так и на консоль.

3. Хакер запалился при заходе на сайт под собственным IP-адресом. Необходимо было сразу же принять меры по собственной безопасности.

Возможность Adore

Об этом чудном рутките можно говорить часами. Его особенность в том, что через исполняемый файл ava можно выполнять команду из-под root’а. К примеру, чтобы вызвать шелл, нужно написать следующую строку:

ava e /bin/bash >/dev/null 2>&1

Дескрипторы перенаправляются в /dev/null, чтобы не светить лишние записи на консоль.

Стартовые модули

Скрипты Adore, которые будут подгружаться при старте системы, хакер прописал в укромное место. Если бы он не запалил себя, админ вряд ли бы их нашел. Например, хорошим местом для их местоположения будет файл /etc/init.d/sshd.

Картинка: start_script.jpg

Описание: Фейк функция в стартовом скрипте

INFO

Очень часто наши доблестные админы устанавливают русские пароли в латинской раскладке. Они, как показано выше, легко подбираются брутфорсером. Господа администраторы, мой вам совет! Усложняйте пароль регистром или хотя бы лишними цифрами и посторонними буквами!

INFO

Скрыть файл при помощи Adore очень просто. Достаточно сменить uid владельца на 30, либо выполнить команду ava h /path/to/file. На заметку: суидный файл при скрытии теряет смысл бита, так как после смены владельца рутовые права утрачиваются.

INFO

Для того чтобы не светить файл /var/adm/.history, необходимо или скрыть его, или добавить строку unset HISTFILE в /var/adm/profile (перед exit).

INFO

Сменить дату на файл очень просто. В этом может помочь команда touch с параметром –t, после которого следует формат даты в виде MMDDhhmm. Хакер не должен забывать выполнять команду touch –t 01010100 /etc/passwd перед выходом из системы.

Warning

Не стоит забывать, что все действия хакера противозаконны, поэтому статья приведена лишь в целях ознакомления и организации правильной защиты с твоей стороны. За применение этого материала в незаконных целях автор и редакция ответственности не несут.