入侵工具Knark的分析及防范
添加时间: 2008-3-5 15:54:37 作者: 网络安全 阅读次数:11 来源: http://www.d9soft.com
creed 91 0.0 1.3 1424 824 1 S 15:31 0:00 -bash
现在来改变该进程的euid为0：
./taskhack -euid=0 91
ps aux grep bash
root (!) 91 0.0 1.3 1424 824 1 S 15:31 0:00 -bash
rexec 用来远程执行knark-server的命令：
./rexec www.microsoft.com haxored.server.nu /bin/touch /LUDER
这命令将从www.microsoft.com:53发送一个伪装的udp数据包到 haxored.server.nu:53，来运行haxored.server.nu的命令"/bin/touch /LUDER"
入侵者入侵以后往往将knark的各种工具存放在/dev/某个子目录下创建的隐藏子目录，如/dev/.ida/.knard等等。
检测系统是否被安装了Knark
Knark的作者Creed，发布了一个工具：knarkfinder.c来发现Knark隐藏的进程。
检查系统是否安装有Knark的最直接有效的方法是以非特权用户身份来运行Knark的一个软件包如：rootme，看该用户是否能获得root权限。由于目前Knark目前没有认证机制，因此入股系统被安装了Knark任何一个本地用户运行这个程序都能获得root权限。
还有一个最有效的发现系统是否被knark或者类似的rootkit所感染的方法就是使用kstat来检测，具体参考本站的Nexeon写的解决方案文章：检测LKM rootkit。
Knark防范
防止knark最有效的方法是阻止入侵者获得root权限。但是在使用一切常规的方法进行安全防范以后，防止knark之类的基于LKM技术的rootkit的方法是：
*创建和使用不支持可加载模块的内核，也就是使用单块内核。这样knark就不能插入到内核中去了。
*使用lcap (http://pweb.netcom.com/~spoon/lcap/)实现系统启动结束以后移除内核LKM功能，这样可以防止入侵者加载模块。然而这种方法存在一定的问题，入侵者可以在获得root权限以后修改启动脚本，在lcap启动之前来加载knark模块从而逃避lcap的限制。
入侵工具Knark的分析及防范(2) 第 [1] [2] 下一页
上一篇文章: 从交换机入手 彻底解决ARP攻击 下一篇文章: SecPath防火墙进行软件升级的方法
相关文章: