Ders 5.40: Kullanıcı alanı rootkit'leri ve paket doğrulama

Bir rootkit'in çekirdeğe ihtiyacı yoktur. /etc/ld.so.preload'da listelenen bir kitaplık dinamik bağlantılı her programa yüklenir ve ps, top, ls ve lsof'un bir süreci atlamasını sağlayabilir; değiştirilmiş bir ss bir bağlantıyı atlayabilir. Savunma, rootkit'in ulaşamadığı bir yerden bakmak (statik bir ikili dosya, doğrudan okunan /proc) ve paket yöneticisine hangi dosyaların artık kurulanla eşleşmediğini sormaktır. Laboratuvarda bir Northwind web sunucusu meşgul ama meşgul hiçbir şey göstermiyor. Gizli madenciyi iki görünümü karşılaştırarak buluyor, kitaplığın nasıl yüklendiğini gösteriyor, her paketi doğruluyor, kancayı kaldırıyor ve değiştirilmiş aracı geri yüklüyorsun.

19 dk

Bu derste öğreneceklerin

/etc/ld.so.preload'un süreçleri nasıl gizlediğini açıklamak
Dinamik bir görünümü statik biriyle (busybox) karşılaştırmak
Ön yüklemeyi strace ile göstermek
Kurulu paketleri dpkg -V ile doğrulamak ve sahipleri dpkg -S ile bulmak
Değiştirilmiş dosyaları --reinstall ile geri yüklemek

Temel terimler

/etc/ld.so.preload: Dinamik yükleyicinin dinamik bağlantılı her programa önce yüklediği kitaplıkları listeleyen dosya.
Statik ikili dosya: Kitaplıkları içine gömülü bir program; ön yükleme kancaları onu etkilemez.
Çapraz görünüm algılama: Aynı şeyi listelemenin iki yolunu karşılaştırmak; farklar gizlenmeyi ortaya çıkarır.
dpkg -V: Kurulu dosyaları paketleri kurulurken kaydedilen sağlama toplamlarıyla karşılaştırır.
dpkg -S: Bir dosyanın hangi pakete ait olduğunu gösterir; hiçbir pakete ait olmayan dosyalar daha yakından bakmayı hak eder.
Conffile: Yöneticinin düzenlemesi beklenen yapılandırma dosyası; dpkg yerel değişiklikleri korur.

← Güncellemeden sonra yeniden başlatma · Tüm dersler · Kapanış 2: yeniden kurulan sunucunun daha iyi olduğunu kanıtlamak →