Ders 5.24: Kalıcılık taraması

Geri gelmek isteyen bir saldırgan kendiliğinden yeniden çalışan bir şey yerleştirir: bir zamanlayıcı, bir cron işi, bir giriş betiği, bir paket yöneticisi kancası, bir SSH anahtarı. Linux'ta bu tür onlarca yer vardır ve bir saldırgan için işe yarayanlar yöneticilerin nadiren okuduklarıdır. Laboratuvarda Northwind'in web sunucusunda cumartesi gecesi bir davetsiz misafir vardı. Olağan kalıcılık yerlerinde o pencerede değişen dosyaları tarıyor, her mekanizmayı okuyor, özetleriyle kopyalarını saklıyor ve onları kaldırıyorsun; çoğu denetim listesinin unuttuğu ikisi dahil: bir APT kancası ve bir günün iletisi betiği.

19 dk

Bu derste öğreneceklerin

Linux kalıcılık yerlerini listelemek
Onları find -newerct ile bir zaman penceresindeki değişiklikler için taramak
Zamanlayıcıları, APT kancalarını ve update-motd betiklerini okumak
Bilinmeyen bir SSH anahtarını fark etmek
Önce korumak, sonra kalıcılığı kaldırmak

Temel terimler

Kalıcılık: Bir saldırganın yeniden başlatma, parola değişikliği ya da temizlikten sonra erişimi geri kazanmasını sağlayan her şey.
systemd zamanlayıcısı: Bir hizmeti cron gibi bir takvime göre başlatan birim.
APT kancası: APT'nin bir işlemden önce ya da sonra çalıştırdığı, /etc/apt/apt.conf.d'de yapılandırılan komut.
update-motd.d: Giriş iletisini oluşturan betikler; her etkileşimli girişte root olarak çalışır.
authorized_keys: O hesap olarak giriş yapmasına izin verilen açık anahtarlar.
Tarama: Sezgileri izlemek yerine bilinen her yeri sistematik olarak denetlemek.

← SSH istemcisi ve atlama sunucusu · Tüm dersler · Kapsayıcı kaçışını çalışırken tespit etmek →