RootKit و سیستم های unix base

[Behnam Golds]

در  مورد  rootkit  ها  حتما   چیزایی  میدونید  ، ولی یه  توضیح   کوتاه  میدم  :

rootkit   نرم افزاریه  که  مثل  trojan  یا  backdoor  عمل  میکنه  ولی  تشخیص  اون  سخت تره  چون  میتونه  جایگزین  فایل های سیستمی بشه  و حتی میتونه  جایگزین  هسته ی سیستم عامل  هم  بشه ، خوب بدیهیه  که  rootkit  دشمن  سرسخت تری باشه ...

برای  توضیحات  بیشتر  در مورد  rootkit  میتونید  به   گوگل  مراجعه  کنید.

هدف من از نوشتن این  پست  معرفی  دو ابزار کم  حجم   برای  تشخیص  rootkit  ها  و  تشخیص  نقاط  آسیب پذیری  احتمالی  مرتبط ، در  لینوکسه.

ابزار  شماره  1  :    RootKit Hunter 

یک  از ابزارهای  امنیتی  در لیست  TOP 100   و  به  گفته ی سازنده   تا   99.9 ٪  دقت   عمل  داره !

حجم:263.2 KB

لینک  دانلود  :    http://sourceforge.net/projects/rkhunter/     

نصب  :

کافیه  فایل رو  از  حالت  فشرده  خارج  کنید  و   اسکریپت   installer.h   با   پارامترهای  مناسب  اجرا  کنید  .نصب  با  تنظیمات  پیش فرض :

کد: [انتخاب]

sudo ./installer.sh --layout default --install
کاربرد :

کد: [انتخاب]

sudo rkhunter -c
گزینه های بیشتر :

کد: [انتخاب]

man rkhunter
به روز رسانی دیتابیس و خود برنامه:

کد: [انتخاب]

sudo rkhunter --update
rootkits/backdoors/LKM's/worms   های   پشتیبانی  شده  :

55808 Trojan - Variant A ADM W0rm AjaKit aPa Kit Apache Worm Ambient (ark) Rootkit Balaur Rootkit BeastKit beX2 BOBKit CiNIK Worm (Slapper.B variant) Danny-Boy's Abuse Kit Devil RootKit Dica Dreams Rootkit Duarawkz Rootkit Flea Linux Rootkit FreeBSD Rootkit Fuck`it Rootkit GasKit Heroin LKM HjC Rootkit ignoKit ImperalsS-FBRK Irix Rootkit Kitko Knark Li0n Worm Lockit / LJK2 mod_rootme (Apache backdoor) MRK Ni0 Rootkit NSDAP (RootKit for SunOS) Optic Kit (Tux) Oz Rootkit Portacelo R3dstorm Toolkit RH-Sharpe's rootkit RSHA's rootkit Scalper Worm Shutdown SHV4 Rootkit SHV5 Rootkit Sin Rootkit Slapper Sneakin Rootkit Suckit SunOS Rootkit Superkit TBD (Telnet BackDoor) TeLeKiT T0rn Rootkit Trojanit Kit URK (Universal RootKit) VcKit Volc Rootkit X-Org SunOS Rootkit zaRwT.KiT Rootkit Anti Anti-sniffer LuCe LKM THC Backdoor

توضیحات بیشتر :   http://www.rootkit.nl/projects/rootkit_hunter.html


ابزار  شماره  2  :    Chkrootkit

لینک  دانلود  :    ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz     

نصب  :

احتیاجی به نصب نداره  ولی  باید  چند فایل  داخلش  کمپایل  بشه . کافیه  فایل رو  از  حالت  فشرده  خارج  کنید   و

کد: [انتخاب]

sudo make

کاربرد :

کد: [انتخاب]

sudo ./chkrootkit
گزینه های بیشتر  :

کد: [انتخاب]

sudo ./chkrootkit  --help
تولید   خروجی  مناسب  و  اجرای  مرحله  به  مرحله :

کد: [انتخاب]

man ./chkrootkit -x
به روز رسانی دیتابیس و خود برنامه:

باید  دوباره  به  سایت  سازنده  مراجعه کنید.

بررسی هایی  که این  نرم افزار  انجام  می دهد  :

aliens asp bindshell lkm rexedcs sniffer w55808 wted scalper slapper z2 chkutmp amd basename biff chfn chsh cron crontab date du dirname echo egrep env find fingerd gpm grep hdparm su ifconfig inetd inetdconf identd init killall  ldsopreload login ls lsof mail mingetty netstat named passwd pidof pop2 pop3 ps pstree rpcinfo rlogind rshd slogin sendmail sshd syslogd tar tcpd tcpdump top telnetd timed traceroute vdir w write

توضیحات  بیشتر :   chkrootkit.org/



بازم   توضیح ؟!!     http://linuxhelp.blogspot.com/2006/12/various-ways-of-detecting-rootkits-in.html

توضیحات   بیشتر تر  :   بحث  میکنیم .

[nimafire]

از توضیحاتتون تشکر میکنم....حتما تست و نصب میکنم

[Behnam Golds]

بابا  چه  عجب!!!   

خواهش میکنم  nimafire   جان  .

[sudotux]

مرسی عالی بود.

البته بهترین راه برای تامین امنیت سیستم, بروز نگه داشتن اون هست. rootkit ها از نقاط آسیب پذیر سیستم برای رخنه و نفوذ استفاده می کنند و چون هسته ی لینوکس و کلا گنو/لینوکس دائما در حال به روز رسانی و آپدیت هستند , rootkit های قدیمی نمی تونن تاثیری داشته باشند.

[Behnam Golds]

مرسی عالی بود.

البته بهترین راه برای تامین امنیت سیستم, بروز نگه داشتن اون هست. rootkit ها از نقاط آسیب پذیر سیستم برای رخنه و نفوذ استفاده می کنند و چون هسته ی لینوکس و کلا گنو/لینوکس دائما در حال به روز رسانی و آپدیت هستند , rootkit های قدیمی نمی تونن تاثیری داشته باشند.

100%  .  این  ابزار نقاط آسیب پذیر سیستم  رو   مشخص میکنه  ،  فرض  کن  نرم افزاری رو از منبع نا معتبر نصب کنی و  بدون اینکه بدونی  یک حفره توی سیستمت باز بشه  با این برنامه ها میتونی پیداش کنی.  مثلا یکی از بچه ها بعد از نصب wine  چند تا  warning    گرفته  بود  که البته زیاد جدی نبودن . جدیدا هم پست زده فکر کنم دیده باشی .

[Meys@m]

سلام
در اوبنتو مثل ویندوز نیست که روی هر چی کلیک کنی سریع برات باز شه (فایل اجرایی ( حداقل برا من اینطور بوده تا به حال ، باید با X/. اجراش کنم)) و این باعث میشه که برنامه مخرب از طرف من اجرا نشه ، چون در لینوکس همه چی برا من شفافه از طرفی من همیشه سیستمم به روزه و این باعث میشه که از ضعف سیستم نتونه نفوذ کنه ، پس در جمع بندی به این نکته میرسیم که لینوکس در کل و در جز احتیاج به اسکنر برای ویروس و تروجان و روت‌کیت ندارد.
درست میگم؟

[Behnam Golds]

یعنی  توی  ویندوز  اگر  برنامه ای رو  اجرا نکنی  احتمال  نفوذ به سیستم  وجود نداره ؟   همونطور  که  میدونی اینطور  نیست  فرض کن  بسته ی  dhcpXXX  رو  نصب  کنی و  بر  فرض  این  بسته  رو از منبع  نا معتبری   نصب کردی که  حالا حالا ها  نقاط آسیب پذیریش  توسط تیم  سازنده  شناسایی نشه ... و بعد از نصب  این بسته  به  صورت یک سرویس  و  اتوماتیک  در پس زمینه اجرا  بشه  ... در این صورت  یک حفره امنیتی در سیستمت ایجاد  شده  و تو خبر نداری ...   امیدوارم با این مثال  رفع  ابهام  بشه .   ضمنا  rootkit   بیشتر  از اینکه برای  ویندوز  وجود داشته باشه  برای  سیستم ها ی   nix*     هست .   ولی   درست  کردنش  کار  هر  script  kiddie   نیست  .  و  همونطور  که  خودتون  گفتید  در صورت  به روز رسانی    دیگه  کار  نخواهد  کرد و باید  یه  جدیدش درست بشه ...   در هر صورت  بیشترین  آسیب پذیری  در لینوکس اینطور  حاصل میشه که یک نفر  دسترسی فیزیکی  به  سیستم  داشته باشه و  به  صورت  خواسته یا نا خواسته این مشکل رو ایجاد  کنه. 

در انتها  شاید  برای  سیستم های رومیزی و شخصی  زیاد  احتیاجی به این کارا نباشه  و در صورت بروز  مشکل  خیالت راحت باشه و  حداکثر  دوباره  سیستم عاملت رو نصب کنی .  ولی  برای  یک سرور با اطلاعات  حساس  که   تو  کانفیگ  کردی و  مسئولیتش رو بر عهده داری  در  صورت  بروز  کوچکترین  مشکلی  پوست از  سرت  میکنن و بعد  سرو ته آویزونت  میکنن و سنگسارت میکنن و بعد  زنده به  گورت میکنن  روشم  می ...   بیخیال 

[snake]

سلام
منم يه موردو بگم
توي ويندوز سابقا يه مشكلي بود به نام dcom‌  كه با اجراي يك اكسپلوت به راحتي مي شد يه shell  از طرف مقابل گرفت نه احتياج بود طرف فابلي رو اجرا كنه نه اينكه طرف اصلا چيزي مي فهميد.

موفق باشي

[Behnam Golds]

سلام
منم يه موردو بگم
توي ويندوز سابقا يه مشكلي بود به نام dcom‌  كه با اجراي يك اكسپلوت به راحتي مي شد يه shell  از طرف مقابل گرفت نه احتياج بود طرف فابلي رو اجرا كنه نه اينكه طرف اصلا چيزي مي فهميد.

موفق باشي

درسته  منم  یه زمانی با اکسپلویت ها بازی می کردم  . ولی این مسئله  به  buffer overflow   مربوط میشه و  با  rootkit  فرق  داره .  اخیرا  یه  مطلبی هم راجع به  اکسپلویت ها در  سیستم های  لینوکسی  دیدم  پیداش  کنم  لینکش  رو میذارم اینجا. 

[کنجکاو!]

آقا حالا که اینقدر آپدیت بودن خوبه من هم زدم آپدیت بشه! فقط حیف که شب ها نمی تونم بذارم دانلود بشه!
خیلی ممنون از این پستتون!

[Behnam Golds]

آقا حالا که اینقدر آپدیت بودن خوبه من هم زدم آپدیت بشه! فقط حیف که شب ها نمی تونم بذارم دانلود بشه!
خیلی ممنون از این پستتون!

    خوشبختانه  در  لینوکس  به روز رسانی  ها  مثل  سیستم عامل ...  الکی نیستن  و  مرتب به روز رسانی داریم  و  با  هر  به روز رسانی  یک  مشکل امنیتی یا  باگ  شناسایی شده  برطرف میشه  .