Охота на хакера

Александр Любимов aka Sashiks

Хакер, номер #084, стр. 084-062-1

(real_sshx@mail.ru)

Проникновение в захваченную систему и устранение хакера-конкурента

В Интернете полным-полно разнообразных серверов, которые день и ночь работают на благо пользователей Cети. Каждая такая машина находится на попечении у сетевого гуру - администратора, который следит, чтобы web-сервер работал стабильно, mail-демон фильтровал спам, MySQL вовремя обрабатывала клиентские запросы, а ftpd не падал под напором хакерских эксплойтов. Проблема в том, что все следят по-разному. Недавно вот я наткнулся на тачку, которую уже кто-то взломал до меня :(. Пришлось отстаивать собственные интересы и «выпереть» нерадивого хакера из ценной машины.

[незаконное вторжение]

Эта история началась с того, что я узнал рутовый пасс на одной машине. Как ни странно, но в /etc/hosts была прописана еще одна тачка (естественно, из этой же сети) и я поспешил вломиться туда рутом по ssh. Конечно же, ненастроенный sshd впустил меня с нулевым уидом. Cистемка, судя по всему, была web-сервером - на винте хранились множество юзерских страничек и даже сайты каких-то солидных, судя по дизайну, французских предприятий. Машина, заточенная под web-сервер, была скромно наделена 3 Ггц процессором, 120 Гб винтом и уймой оперативной памяти. Короче говоря, тачка попалась нехилая. Имея рутовый доступ протроянить сервак и сделать свое пребывание на машине не таким заметным не составляло особого труда. Предварительно проверив, что в Багдаде все спокойно (who, last -10), я приступил к активным действиям. В первую очередь, нужно было слить подходящий rootkit. В паблике сейчас их довольно много, но особой популярностью пользуются именно эти комплекты:

* shv4 (http://svt.nukleon.us/tools/shv4.tar.gz)

* suckit (http://packetstormsecurity.nl/UNIX/penetration/rootkits/sk-1.3a.tar.gz)

* LKM adore (http://pro-hack.ru/download/rootkits/adore-0.42.tgz)

Хотя, если говорить откровенно, то можно было использовать и всякие tuxkit'ы, Knark'и и так далее - это дело исключительно личное. Теперь осталось самое сложное - перейти в /tmp (или /var/tmp) и залить туда вредоносный архив. Едва сделав ls -la /var/tmp, я немного удивился: в папке лежало пару бинарников и несколько сорцов. И тут до меня дошло, что это обычные сплоиты для старых ядер 2.4.X. Тревожная мысль о том, что в систему проник какой-то другой хакер, уже нашла подтверждение. Тем более, что файлы принадлежали nobody (стандартный юзер, под которым apache загружается) и, судя по дате, они были созданы минут сорок назад. Совсем не паленой оказалась папка .mysql, в которой обнаружился заразовский прокси и скрипт для масс дефейсинга на PHP. До сих пор, правда, не понимаю, зачем заливать дефейсер, если собираешься юзать тачку как proxy :). Терять доступ к этой машине из-за того, что какой-то левый чел решил просто от нечего делать поиметь сотню-другю сайтов, мне не особо хотелось. Поэтому решено было выпереть наглого оппонента :). К сожалению, я не сразу обратил внимание (uname -r), что ядрышко довольно древнее и не патченное, а поэтому хакеру скорее всего уже удалось стать суперпользователем.