تويت
الاستفادة من هجوم rootkit في الدفاع عن شبكتك
الكثير من الخوادم تكون مضطرا فيها للسماح لأشخاص معينين بوضع ملفات على الخادم
لكن وضع هذه الملفات لا يشكل أي خطر على الخادم لأن تشغيلهم للملفات سيكون دون صلاحيات
كذلك الحال عن استغلال أحدهم ثغرة ما في واحد من آلاف البرامج المركبة عندك لينفذ ما يريد على الخادم لديك هذا التنفيذ سيكون بصلاحيات عمل الخادم وهي غالباً تشبه nobody او guest
تتخلص فكرة هجوم rootkit هي استغلال سهوة من مدير النظام الضحية ودفعة لتنفيذ برامج يضعها المخترق، وهنا سيكون التنفيذ بصلاحيات مدير النظام
هذه الحيل تتراوح بين الهندسة الاجتماعية (فن الهيلمة) والعبث في متغير البيئة PATH
لكن النقطة الأساسية فيها التي منحتها الاسم هي عمل برامج/سكربتات باسم لن يتردد المدير في تنفيذها
كأن يكون اسمها ls أو cp أو mv ... وهي أشياء لا يمر يوم إلا وينفذها الواحد منا عشرات المرات
طبعاً هذه الحيلة وحدها لن تنفع
لأن توزيعات لينكس لا تضع الدليل الحالي أي . في مسارات التنفيذ PATH إضافة لاستعمال noexec و umask وغيرها
الآن يبدأ المقال وهو كيف نستفيد من هذه الحيلة في الحماية لا في التخريب
تخيل
أنك في عالم مثالي كل ما عليك هو أن تسترخ 
فإذا حاول شخص ما الدخول إلى نظامك 
ياتيك بريد أو رسالة على جوالك تحذلك من ذلك المشبوه قبل أن تقع الفاس بالراس
لتدارك المشكلة وقتل ال session الذي فتحة والقيام باللازم
هذا ليس حلم
غير اسم البرنامج ls الموجود في /bin/ إلى ls.bin مثلاً
ثم اعمل النص التالي
واحفظه (مع تعديل الأسطر الأولى بما يناسبك، يعني ضع بريدك أنت) ثم ضعه على الخادم باسم ls في المجلد bin ولا تنس أن تسمح بنتفيذه
chmod a+x /bin/ls
فإذا تسلل أحدهم وبمجرد أن يكتب ls ليعرف أين هو، ستصلك رسالة تحذرك من وجود اختراق
يمكنك أن تضيف طباعة $$ و pstree -p إلى متن الرسالة
والسلام
لكن وضع هذه الملفات لا يشكل أي خطر على الخادم لأن تشغيلهم للملفات سيكون دون صلاحيات
كذلك الحال عن استغلال أحدهم ثغرة ما في واحد من آلاف البرامج المركبة عندك لينفذ ما يريد على الخادم لديك هذا التنفيذ سيكون بصلاحيات عمل الخادم وهي غالباً تشبه nobody او guest
تتخلص فكرة هجوم rootkit هي استغلال سهوة من مدير النظام الضحية ودفعة لتنفيذ برامج يضعها المخترق، وهنا سيكون التنفيذ بصلاحيات مدير النظام
هذه الحيل تتراوح بين الهندسة الاجتماعية (فن الهيلمة) والعبث في متغير البيئة PATH
لكن النقطة الأساسية فيها التي منحتها الاسم هي عمل برامج/سكربتات باسم لن يتردد المدير في تنفيذها
كأن يكون اسمها ls أو cp أو mv ... وهي أشياء لا يمر يوم إلا وينفذها الواحد منا عشرات المرات
طبعاً هذه الحيلة وحدها لن تنفع
لأن توزيعات لينكس لا تضع الدليل الحالي أي . في مسارات التنفيذ PATH إضافة لاستعمال noexec و umask وغيرهاالآن يبدأ المقال وهو كيف نستفيد من هذه الحيلة في الحماية لا في التخريب
تخيل
أنك في عالم مثالي كل ما عليك هو أن تسترخ فإذا حاول شخص ما الدخول إلى نظامك ياتيك بريد أو رسالة على جوالك تحذلك من ذلك المشبوه قبل أن تقع الفاس بالراس
لتدارك المشكلة وقتل ال session الذي فتحة والقيام باللازم
هذا ليس حلم
غير اسم البرنامج ls الموجود في /bin/ إلى ls.bin مثلاً
ثم اعمل النص التالي
كود:
#! /bin/sh MAIL="[email protected]" LS="/bin/ls.bin" SUBJECT="WARNING: Suspected intrusion" echo "AlSadi rootkit defence system report, Warning somebody managed to get a session on this server at [$(date)] using the account of user=[$USER] UID=[$UID], please handle this situation" | mail -s subject "$SUBJECT" "$MAIL" 2>/dev/null 1>/dev/null || true exec $LS [email protected]
chmod a+x /bin/ls
فإذا تسلل أحدهم وبمجرد أن يكتب ls ليعرف أين هو، ستصلك رسالة تحذرك من وجود اختراق
يمكنك أن تضيف طباعة $$ و pstree -p إلى متن الرسالة
والسلام
..
؟ وليش ما خبرتني بوجود مثل هذا الموضوع 
؟
تعليق