Выбери свой руткит!

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-060-5

Если полагать, что Солярные админы редко пользуются программами типа chkrootkit, то rootkitSunos проживет в системе долгие годы, а ты будешь без лишнего геморроя и заботы о безопасности админить поверженный сервер.

Что же выбрать?

Я думаю, этот обзор поможет как можно скорее найти ответ на этот сложный вопрос. Лично я редко использую руткиты, лишь в редких случаях прибегаю к помощи shv4 и rootkitSunOS. Пару лет назад очень любил Adore и Suckit, а для Фряхи выбирал только fbrk. С уверенностью могу сказать, что все описанные комплекты заслуживают доверия, несмотря на свои недостатки. Лишь новые версии операционок и умные админы порой мешают ими воспользоваться.

Админам на заметку

Если ты думаешь, что эта статья посвящена лишь хакерам, то глубоко ошибаешься :). Админы обязаны знать все известные руткиты, чтобы с первого взгляда определить, взломана система или нет. Вот список симптомов, указывающих на руткиты из обзора.

* Shv4:

1. Существует каталог /lib/ldd.so

2. /bin/ls не понимает опцию --colors

3. В /usr/includes можно заметить три лишних файла: proc.h, port.h и log.h

* Suckit:

1. В системе существует файл /usr/share/locale/sk/.sniffer

2. /sbin/init отличается контрольной суммой от родного init'а

* Adore:

1. Созданный каталог adore невидим для /bin/ls

2. Chkrootkit засекает скрытые процессы

3. В системе обнаружен бинарник ava

* Fbrk:

1. Наличие каталога /dev/fd/.99/

2. Открытый 65535 порт

* rootkitSunOS:

1. Наличие каталога /tmp/.X11-unix/.../

2. Наличие файлов /dev/ptyX

Если ты обнаружил, что в системе поселился руткит, тут же обновляй все бинарники, которые заменил установщик. Помни, что LKM-руткиты подгружают модули, которые сразу же удаляются из списка. В этом случае смотри все стартовые скрипты и удаляй посторонние записи.

INFO

В некоторых системах при подгрузке модулей проверяется их лицензия. Adore таковой не имеет, поэтому необходимо добавить в код строчку MODULE_LICENSE("GPL").

WARNING

После установки shv4 обязательно сними все атрибуты с файлов в /bin и /usr/bin (команда chattr), а затем подкорректируй время создания файла (команда touch).

CD

На компакте ты найдешь свежие версии всех руткитов (за исключением shv4, его ищи самостоятельно), а также дистрибутив chkrootkit в качестве бонуса.

WWW

Описанные руткиты ты можешь без проблем слить по этим адресам:

Suckit - http://packetstorm.trustica.cz/UNIX/penetration/rootkits/sk-1.3a.tar.gz

adore - http://packetstormsecurity.nl/groups/teso/adore-0.42.tgz

fbsd-rootkit - http://packetstorm.trustica.cz/UNIX/penetration/rootkits/fbrk1-imps.tar.gz

rootkitSunos - http://packetstorm.trustica.cz/UNIX/penetration/rootkits/rootkitSunOS.tgz

Разумеется, хакерский мир не ограничивается пятью руткитами. Полный список публичных творений можно найти на
http://packetstorm.trustica.cz/UNIX/penetration/rootkits/.