Консольный шпионаж

Докучаев Дмитрий aka Forb

Xakep, номер #068, стр. 068-052-4

У LKM имеется два режима установки: маскирующий и обычный. При маскировке модуль не виден в выводе lsmod. При этом можно быстро остановить перехват информации - необходимо лишь передать секретный пароль и нажать сочетание Ctrl+]. Повторное действие возобновит журналирование. Но и это еще не все. К сожалению, Vlogger работает нестабильно с ядрами в RPM. После загрузки модуля он ведет логирование несколько минут, а затем падает в core. Причем, в lsmod он виден невооруженным глазом, и его нельзя удалить. Когда я установил Vlogger в систему с компилированным кернелом, LKM послушно выполнял все команды :). Впрочем, можешь сам потестировать его работу на ядре в RPM, может, модуль и не будет сбоить.

Приступим, собственно, к установке. Выкачивай и распаковывай архив с Vlogger (http://www.thc.org/download.php?t=r&f=vlogger-2.1.1.tar.gz). Теперь запусти vlogconfig. Скрипт задаст ряд несложных вопросов. Сперва будет установлен пароль на немедленную активацию/деактивацию модуля. Об этом я писал выше. Затем у тебя спросят текущую временную зону. Уверен, что на эти вопросы ты ответишь правильно. После этого сценарий запросит режим логирования (0, 1 или 2). Нолик означает, что сбор информации производиться не будет. Единица - это логирование абсолютно всех команд. Двойка - умный перехват. То есть сбор только логинов и паролей (от su, ssh, telnet и других клиентов). Последний вопрос будет задан относительно каталога с логами. Я указал директорию /tmp/log, быть может, ты придумаешь более изысканный путь :). После этапа конфигурирования запусти vlogctrl load и радуйся жизни - модуль загружен.

Если ты разузнал всю инфу об админе, либо тебе надоело сниферить, набери vlogctrl unload и забудь о модуле, как о страшном сне. Специально для *nix-guru разработчики выложили файл doc/vlogger.txt. Там указаны основные принципы ядерной работы, а также фейковые функции, содержащиеся в LKM. Рекомендую почитать.

Злоключение

Теперь ты понимаешь, что для Linux, как и для винды, существует масса программ, позволяющих перехватывать информацию. Для защиты от подобных инцидентов рекомендую следить за целостностью системы, а также переходить на защищенные соединения, которые не по зубам даже современным нюхачам. Регулярно проверяй Linux различными chkrootkit и прочими программами. Только тогда ты можешь считать, что твоя приватная инфа не попадет в лапы хакерам.

Не снифером единым...

Существует много других простых и удобных способов добычи чужой информации. Например, ты можешь выполнить команду "cat /dev/pts/num", где num - номер терминала пользователя, и ждать. Зазевавшийся юзер напишет пару команд, которые ты увидишь. Правда, потом он почует неладное, поскольку вывод данных целиком перенаправится тебе в консоль. Не забывай, что все команды логируются в ~user/.bash_history. Лично я считаю это плохой идеей и всегда объявляю значение HISTFILE равным /dev/null. Если вдруг тебе захотелось посмотреть, какие приложения юзают пользователи, - начни с изучения этого файла. Кстати, периодически просматривай и свою историю команд - ты можешь найти логи закачивания на сервер снифера и бэкдора. Поверь, такое тоже случается :). В общем, будь осторожен и пользуйся неосторожностью других.