Ders 4.5: Zararlı systemd hizmetleri
systemd modern bir Linux sistemindeki her şeyi başlatır; bu da bir hizmet birimini çekici bir saklanma yeri yapar: root olarak çalışır, öldürülürse kendini yeniden başlatır ve yeniden başlatmalardan sağ çıkar. Gerçek bir hizmetin bir sahtekârdan nasıl ayırt edileceği (birim dosyasının ve programının nerede durduğu, neye bağlandığı, bir paketin ona sahip olup olmadığı) ve kanıtı saklarken doğru sırayla nasıl durdurulup kaldırılacağı. Laboratuvarda /var/tmp'den gizli bir program çalıştıran ve bir önceki dersteki aynı dış sunucuyla konuşan, inandırıcı adlı bir hizmeti inceliyorsun.
17 dk
Bu derste öğreneceklerin
- Hizmetlerin neden kalıcılık için kullanıldığını açıklamak
- Bir birimi systemctl status ve cat ile incelemek
- Uyarı işaretlerini fark etmek: konum, ağ bağlantıları, sahip paket yok
- Kanıt ve özet toplamak
- Zararlı bir birimi durdurmak, devre dışı bırakmak ve kaldırmak
Temel terimler
- Birim dosyası
- systemd'ye bir hizmeti nasıl çalıştıracağını söyleyen metin dosyası: program, kullanıcı, yeniden başlatma kuralları, ne zaman başlatılacağı.
- daemon-reload
- Birim dosyaları eklendikten, değiştirildikten ya da kaldırıldıktan sonra systemd'nin onları yeniden okumasını sağlar.
- Komuta ve kontrol (C2)
- Zararlı yazılımın talimat almak ve veri göndermek için kullandığı kanal.
- Ele geçirilme göstergesi (IOC)
- Bir saldırının gözlemlenebilir işareti: bir dosya özeti, bir IP adresi, bir alan adı, bir dosya yolu.
- Kılık değiştirme
- Zararlı dosyalara ya da hizmetlere meşru görünen adlar ve yerler vermek.
← TCP: üçlü el sıkışma, bayraklar ve bağlantı durumları · Tüm dersler · Siteler arası betik çalıştırma (XSS) →