Ders 2.66: Kabuk geçmişini bellekten kurtarmak
Saldırganlar geçmişi kapatır: unset HISTFILE, HISTFILE=/dev/null, history -c. Bu bash'in ~/.bash_history'ye yazmasını durdurur ama bash, kabuk açık olduğu sürece her komutu kendi belleğinde tutmaya devam eder. Volatility'nin linux.bash eklentisi bu listeyi imajdaki her bash sürecinde, her komutun yazıldığı zamanla birlikte bulur. Laboratuvarda db02'deki geçmiş dosyası masum; bellek değil. Saldırganın oturumunu kurtarıyor, hangi kabuk olduğunu buluyor ve onu tam bir veritabanı dışa aktarımını gösteren bir zaman çizelgesine çeviriyorsun.
16 dk
Bu derste öğreneceklerin
- Geçmişi kapatmanın belleği neden temizlemediğini açıklamak
- Komutları linux.bash ile kurtarmak
- Komutları bir kabuğa ve ebeveynine bağlamak
- Sekmeyle ayrılmış çıktıdan bir zaman çizelgesi kurmak
- Kurtarılan komutlarda veri hırsızlığını görmek
Temel terimler
- linux.bash
- Bellekteki bash süreçlerinden geçmiş girdilerini zaman damgalarıyla kurtaran Volatility eklentisi.
- HISTFILE
- bash'in çıkışta geçmişi kaydettiği yer; /dev/null ya da tanımsız olması hiçbir şeyin kaydedilmemesi demektir.
- history -c
- Kabuğun görünür geçmiş listesini temizler; belleği silmez.
- Zaman çizelgesi
- Farklı kaynaklardan gelen, zamana göre sıralanmış olaylar.
- pg_dumpall
- Bir PostgreSQL sunucusunun tüm veritabanlarını döker.
← Asıl kim yaptı: sudo boyunca kimlik izi · Tüm dersler · Dizeler ve göstergeler →