Эксплойтный ликбез

Олег Толстых aka NSD

Xakep, номер #066, стр. 066-070-4

Представим, что хакер откомпилировал удаленный сплойт. Как он будет его запускать? Да точно так же, как и локальный, только теперь это можно сделать с любого компьютера! В этом случае программе необходимо передать несколько параметров: IP-адрес жертвы, время таймаута и т.п. О том, как именно работать с конкретным эксплойтом, обычно рассказывается в комментариях автора и readme файлах. Если же никакой информации нет, можно откопать названия флагов в коде самого сплойта.

Fake-эксплойты

Иногда бывает так, что автор эксплойта хочет поиметь не какой-нибудь дырявый ProFTPD 1.2.5rc1, а самого тебя ;). Когда ты сливаешь из инета новый файл и проверяешь его антивирусом, то думаешь, что обеспечиваешь себе защиту от троянов. Но ты ошибаешься. Сейчас я покажу, как можно замаскировать троянского коня под эксплойт. Писать свой фейк-сплойт не буду, приведу пример из реальной жизни. Так вот, есть такая гнилая команда горе-хакеров GipsHack, которая выложила на свой сайт «эксплойт» вот с таким описанием: “Удаленный кернел рут эксплойт, проверен на slackware 9.1, redhat 9.1. (ядро 2.4.2*). Эксплойт следует запускать под рутом на машине атакующего для открытия сырого сокета. Компилируем: gcc -o kmodaxx kmodaxx.c, запускаем: ./kmodaxx ip и получаем рутшелл. Всем срочно качать и хакать, не отходя от кассы: [Скачать]”. Опытный хакер, конечно, сразу заметит, что тут есть какой-то подвох (ага, обязательно надо под рутом запускать – чтобы сокеты и сырые, и мокрые открывались ;) - прим. CuTTer’a). Взгляни на исходник фейка (www.gipshack.ru/expl/kmodaxx.c).

Эта подделка сделана настолько правдоподобно, что на первый взгляд она ничем не отличается от настоящего эксплойта. Но если проанализировать весь исходный код от начала до конца, можно понять, кого она хакает. Вся соль в псевдо-шеллкоде. Если ты переведешь его из шестнадцатеричного представления в читабельный вид, то увидишь перл-скрипт, который в случае запуска fake’a исполнится на твоей тачке с рутовыми правами. Этот скрипт позволяет автору “эксплойта” хитрым образом управлять твоей тачкой прямо из IRC. Так что будь начеку. Перед запуском сплойта убедись, что это не подделка. Изучи сам исходный код – если, например, ты увидишь в нем обращение к функции system() или exec() – не забудь насторожиться :).

Чистка логов

После того как эксплойт сработал успешно, в логи, как понимаешь, запишется много ненужной информации ;). Хакеры, которые хотят остаться анонимными, «чистят логи два раза в день» ;). Думаю, ты знаешь, что по дефолту все логи находятся в директории /var/logs. Можно, конечно, удалить всю папку целиком, но делать этого не стоит – админ сразу заподозрит неладное. Задача хакера – скрыть только свое присутствие в системе. Можно, в принципе, вычистить логи руками, но я не буду об этом рассказывать - этой теме уже посвящали целые статьи. Да это и не нужно вовсе. Зачем выполнять обезьянью работу, которую за тебя может сделать программа? Да-да, именно программа. Софтинки, которые чистят логи, называются логвайперами. Хороший логвайпер для Linux’а – Vanish2. Только это не тот ваниш, которым одежду отбеливают, а тот, которым правят логи ;). Юзать его проще простого, достаточно лишь набрать в консоли: ./vanish2 имя_пользователя,_под_которым_засветился_хакер 0 твой_ip. Этой командой ты удалишь из логов инфу, которая говорит о твоем пребывании на сервере. Но у этой тулзы есть две большие проблема: она предназначена только для линукса и очень медленно работает. Есть логвайперы и для других осей, например, Zap2, созданный для чистки логов в SunOS. Есть и еще один логклинер, отличающийся многофункциональностью - grlogwipe. Дело в том, что он позволяет не только чистить логи, но и подставлять других людей! Если хочешь подробнее узнать о нем - читай статью Forb'а, расположенную по адресу: www.xakep.ru/magazine/xs/032/030/1.htm. А все вышеперечисленные логвайперы можно слить отсюда: www.nsd.ru/soft.php?group=hacksoft&razdel=anonim.