Começando Backdoors Automaticamente
Quando um atacante quebra em um sistema e instala um backdoor, ou ativam geralmente manualmente o programa backdoor. Entretanto, quando os registros do atacante fora de da seu máquina, ele ou ela forem não mais longos no controle direto do sistema. Assim, que mantem-se que o corredor backdoor em uma base cotidiana após o guy mau saiu? Suponha reboots pesky de um administrador de sistema o sistema, ou mais mau ainda, a máquina deixa de funcionar. Quando a caixa começa acima outra vez, o backdoor não estará funcionando mais, negando ao atacante his ou duro-lutou o acesso. Para remediar este interesse, o bandido crafty altera geralmente a máquina para reiniciar automaticamente o backdoor em uma base periódica, especial durante o processo do carregador do sistema. Nesta seção, nós discutiremos como os guys maus manipulam sistemas para se certificar automaticamente seus backdoors para reiniciar. Porque estes métodos dependem assim pesadamente do tipo do sistema, nós analisaremos mecanismos começando backdoor de Windows e de UNIX separada. Ajustando acima Windows Backdoors para começarAs máquinas de Windows teeming com potencialidades automáticas diferentes do start-up do programa. Um atacante podia colocar o nome de um programa ou de um certificado executável em qualquer de uma variedade das posições para mandar o sistema operando-se automaticamente começar esse programa. Geralmente falando, as máquinas de Windows oferecem três tipos diferentes de mecanismos para o código malicioso (ou mesmo nonmalicious) automaticamente começando: um punhado de limas e de dobradores do autostart, um plethora de ajustes do registro, e tarefas programadas. Alterando limas e dobradores startupDeixe-nos começar por limas startup discutindo e a tabela de folders.The abaixo descreve diversas posições que ativarão automaticamente executables e certificados arbitrários em um sistema de Windows quando os eventos específicos ocorrem, como o carregador do sistema ou em um usuário dado que registra na máquina. Um atacante podia incluir o nome de um programa backdoor em alguns destes limas ou dobradores para começá-lo funcionar automaticamente no sistema de alvo.
Abusos Do RegistroAlém das limas e dos dobradores, diversas chaves do registro podem ser abusadas com a finalidade automaticamente de ativar um backdoor. O registro é uma base de dados mammoth que abrigam a configuração detalhada do sistema operando-se de Windows e os vários programas que sejam instalados na caixa. Cada uma das chaves pode ser alterada usando o programa de Regedit.exe, um editor do registro construído em máquinas de Windows NT/2000/XP/2003. Se você planear experimentar com as algumas destas chaves, é extremamente importante que você faz um apoio de seu sistema antes de tweaking o registro. Se você alterasse acidentalmente alguma chave crítica em seu registro, você poderia completamente hose sua máquina, fazendo o unbootable. Assim, tenha por favor cuidado. As chaves críticas do registro para programas automaticamente começando são mostradas abaixo: Whew! Aquela é uma lista longa, feia, mas é importante reconhecer que há um lote terrível dos lugares que um atacante poderia squirrel afastado o nome de algum backdoor terrìvel evil para o começar começou. Embora esta lista possa esgotar, não é exhaustive. As versões atuais e futuras da vontade de Windows têm provavelmente mesmo mais ajustes do registro para automaticamente começar o software, porque a complexidade de Windows cresce com cada remendo, liberação, e aplicação subseqüentes do sistema instalada. Anote que alguns destes ajustes do registro começam com as letras HKLM e outros começam com HKCU. Em ambos os casos, o H está para o hive, uma referência a um pedaço do registro de Windows. HKLM está para a máquina local da chave do hive, e indica systemwide ajustes. HKCU está para o usuário atual da chave do hive, e identifica ajustes para a pessoa registrada atualmente na máquina de Windows. Na maioria das vezes, para começar acima dos programas e dos serviços, os ajustes de HKLM são executadas primeiramente, seguido pelos artigos de HKCU. Também, HKCR, que estão para classes da chave do hive enraizam, identificam os vários programas que são abertos por Windows sob eventos específicos. Fazendo matérias mais más, esta lista de componentes startup não é a única maneira começar automaticamente programas dentro de Windows. Nós ainda temos que fazer exame de um olhar no scheduler de tarefa. Undermining o scheduler de tarefaUm método popular final para automaticamente começar um backdoor em máquinas de Windows NT/2000/XP/2003 envolve programar uma tarefa funcionar no sistema. Usando o serviço do scheduler de tarefa, um atacante pode dizer o sistema para funcionar um programa específico em horas específicas, em datas específicas, ou quando determinados eventos ocorrem, como o início de uma sessão do carregador do sistema ou do usuário. Você pode programar tarefas novas em seu sistema ou ver esses programados já usando o GUI programado das tarefas no painel de controle do sistema. Alternativamente, você poderia usar na comando-linha ferramenta em Windows NT, 2000, e XP ou os schtasks comandam em Windows.xp e em 2003 às tarefas da vista ou da programação. o GUI e a linha de comando mostram uma vista high-level dos programas programados para funcionar no sistema. O detalhe forneceu pelo no comando é útil. Para começar esse tipo da informação fora do GUI, você teria que estalar sobre as tarefas individuais mostradas no dobrador programado das tarefas. Uma coisa agradável sobre a vista do GUI é que inclui todas as tarefas invocadas pelo scheduler de tarefa, including ações tempo-baseado e do sistema do start-up. Observe que a tarefa com um número do ID de 2 inclui uma linha de comando para funcionar backdoor.exe. Gee, eu quero saber o que esse pôde fazer! Defesas: Detectando Técnicas Começando Backdoor De WindowsAssim, os atacantes têm um grupo das maneiras ajustar acima um backdoor em Windows para funcionar por muito tempo depois que o guy mau saiu. Para impedir tais ataques, você necessita manter fora os guys maus de seu sistema no primeiro lugar. Uma prevenção pequena vai uma maneira longa em parar este tipo de ataque. Entretanto, uniforme com as etapas preventivas as mais grandes, alguns atacantes pôde o achado imóvel uma maneira dentro. Assim, além da prevenção, como pode você detectar reconfigurar de um atacante de seu sistema para começar automaticamente um backdoor? Bem, você poderia manualmente verificar cada lima e dobrador cada chave do registro mostrada na tabela acima e as tarefas programadas ver se algo fishy fosse programado. Infelizmente, manualmente verificar todas estas possibilidades requererá os gobs do tempo frustrar gastados na isolação fria, só. Feliz, há uma ferramenta livre agradável chamada AutoRuns que vem ao salvamento. Disponível em nenhuma carga dos povos finos em Sysinternals em www.sysinternals.com, este programa alista automaticamente todas as tarefas automaticamente começando em sua caixa de Windows NT/2000/XP, including dobradores startup, em limas, em ajustes do registro, e em tarefas programadas. A ferramenta de AutoRuns indica não somente muitos chaves, dobradores, e tarefas diferentes do registro do start-up distribuídas durante todo o sistema, mas mostra também os valores que foram ajustados a. Você pode ver o nome exato de cada programa, serviço, ou certificado que começa executado durante a partida para cada método. Aquela é uma lista acessível a ter, para a segurança e finalidades de pesquisa de defeitos. Usando AutoRuns, você não terá que escavar através de um grupo das chaves e dos dobradores do registro para ver que programas são executados durante o carregador do sistema. Toda a informação é coletada junto em um GUI agradável, que suporte mesmo automaticamente saltar a cada chave do dobrador ou do registro assim que você pode fàcilmente editar seu valor. Eu sou certamente um ventilador grande de AutoRuns, mas tem uma limitação noteworthy quando usado encontrar vários backdoors automaticamente funcionando. AutoRuns faz exatamente o que anuncia: Mostra aqueles programas e certificados que são ativados quando o sistema começa acima ou usuários específicos entrar. Entretanto, com seu foco em eventos da partida e do início de uma sessão somente, AutoRuns não mostra nenhumas tarefas que forem programadas ao funcionamento baseado em épocas específicas do dia. Um atacante poderia programar um backdoor para reiniciar cada manhã em 3:00 A.M., e AutoRuns não o mostrará, porque é baseado na hora. Assim, se você confiar em AutoRuns para encontrar automaticamente começar backdoors, recorde que você ainda tem que verificar as tarefas programadas olhando no painel de controle programado das tarefas, funcionando no comando, ou se usando os schtasks comandam. Adicionalmente, você poderia utilizar um programa verificando da integridade da lima para procurarar suas máquinas de Windows por todas as alterações de limas de sistema críticas e de chaves do registro. Estes programas contêm uma base de dados de impressões digitais boas sabidas de limas de sistema críticas e de valores do registro, including aqueles limas e diretórios associados com a iniciação da partida e do usuário de sistema. Quando uma mudança é detectada, a ferramenta alertá-lo-á que assim que você pode figurar para fora de quem fêz a mudança: um administrador de sistema que executa a manutenção padrão do sistema ou um atacante evil dobrou-se no domination do mundo. Após ter inicializado a ferramenta para criar a base de dados das impressões digitais, você pode programar o programa verificando da integridade da lima para funcionar em uma base regular, tal como cada dia ou mesmo cada hora. Quando funciona, a ferramenta verificará para ver se há alterações às limas que você a diz para prestar atenção. Quando encontra uma mudança a uma da partida ou as limas da iniciação do usuário descritas nesta seção, a seguir o administrador de sistema deve reconcile todas as mudanças com atividade legitimate recente do sistema. O verificador da integridade da lima age como um protetor de segurança humano, policiando seu sistema para mudanças desautorizadas. Se o administrador instalar legitimately um remendo, tweaked o processo do carregador, ou alterar um ambiente de usuário, o alerta da ferramenta é meramente um alarme falso. Se não, um atacante pôde estar no prowl, modificando a configuração de sistema para começar acima um backdoor. Este processo do reconciliation não é para o fraco do coração. Requer bastante do esforço na peça de administrador de sistema, mas é distante mais fácil do que verificando a integridade de cada únicos lima e diretório pela mão. Os programas verificando da integridade numerosa da lima de Windows estão disponíveis, including a versão comercial de Tripwire, em www.tripwire.com. Infelizmente, a versão livre de Tripwire não suporta Windows. Diverso a outra integridade da lima que verifica ferramentas está disponível para Windows, including o monitor da integridade do sistema de GFI LANguard e a sentinela dos dados de Ionx. Começando UNIX BackdoorsCertos, os muitos da oferta dos sistemas de Windows das maneiras começar automaticamente a executar programas, mas UNIX não são nenhum slouch tampouco. Certamente, os sistemas de UNIX são extremamente licentious em seu gosto para começar acima dos certificados e dos programas. Como com Windows, cada destas técnicas podia ser abusado para começar um backdoor. Em UNIX, as técnicas caem em diversas categorias, including a adição ou modificar dos certificados da iniciação de sistema, modificando a configuração do daemon do Internet (inetd), alterando um ambiente de usuário, e programando trabalhos. Modificando os config do Uber-Processo: inittabQuando um sistema de UNIX é carregado, funciona uma variedade de certificados e de programas da iniciação. O primeiro processo a funcionar em uma máquina de UNIX é o daemon do init, que ativa todos processos restantes necessitados durante o carregador do sistema. A lima /etc/inittab contem a um init do certificado dizendo o que outros processos ele devem começar. Um atacante poderia adicionar uma linha à lima do inittab que começa acima próprio backdoor do atacante como a parte da seqüência do carregador. A lima do inittab contem entradas com o formato [ id]:[rstate]:[action]:[process ], definido como segue:
Modificando outros certificados da iniciação do sistema e do serviçoEm a maioria de sistemas de UNIX, a lima do inittab diz geralmente o init para funcionar uma série de certificados da iniciação do serviço para começar vários serviços funcionar em uma caixa. Em vez de alterar o inittab próprio, um atacante poderia também modificar estes vários certificados da iniciação do serviço, que começam serviços como httpd (um web server), sendmail (um mail server popular), e sshd (daemon seguro do escudo usado para o acesso remoto seguro). Dependendo de seu sabor particular de UNIX, estes prestam serviços de manutenção a certificados da iniciação são armazenados frequentemente nos diretórios de /etc/rc.d ou de /etc/init.d. Em um sistema típico de UNIX, há 20 ou mais tais certificados, cada 10 a 50 linhas long, fornecendo a terra fértil para plantar um backdoor. Um atacante poderia simplesmente adicionar um certificado backdoor a um destes diretórios, ou altere mesmo os certificados já-existentes para retroceder fora de um backdoor. Para o exemplo, eu poderia adicionar um serviço novo chamado httpb (anote o "b arrastando" para backdoor, que olha como o "httpd"), ou modifique mesmo o certificado já-existente que começa o httpd real de modo que ele primeiramente funcionamentos meu backdoor, e começa então seu web server. Como um ataque final de encontro a seus certificados startup, um atacante poderia nivelar a planta justa um backdoor em uma lima da configuração que um dos certificados existentes da iniciação do serviço funcionasse como começa acima. Para o exemplo, se seu sistema usar sempre o ponto ao protocolo de ponto (PPP) para conexões dial-up do modem, a máquina tentará executar um certificado da configuração chamado /etc/ppp/ip-up.local. Na maioria das vezes, este certificado não é needed, assim que é geralmente em branco. Entretanto, eu poderia colocar o nome do meu backdoor nesta lima, e cada vez que você marca acima de usar seu modem, meu funcionamento backdoor nasty da vontade. Ir após a configuração dos inetdAlém destes certificados startup variados, os atacantes também alteram freqüentemente a configuração de um processo particular usado extensamente suportar serviços de rede, a saber daemon do Internet (inetd, pronunciado "eu-rede-dee"). Em uma caixa de UNIX, o processo do inetd espera o tráfego da rede para uma variedade dos serviços, including o ftp, o telnet, e o outro. Quando o inetd recebe o tráfego pretendido para um destes serviços, funciona o usuário associado para segurar o tráfego se for configurarado para funcionar o serviço. Os atacantes poderiam modificar ou adicionar uma linha à lima da configuração do inetd, que é armazenada na lima de /etc/inetd.conf ou no diretório de /etc/xinetd.d, dependendo do sabor particular de UNIX. Modificando a configuração dos inetd, um atacante poderia dizer o inetd para funcionar um backdoor quando o tráfego específico chega para um porto particular do TCP ou do UDP. O inetd modificando para começar um backdoor é uma das técnicas backdoor as mais comuns no uso de encontro aos sistemas de UNIX hoje. Em nossa analogia incorporada da hierarquia, o inetd é um diretor, mas extremamente importante. Bribing este diretor poderia dar a um atacante o acesso remoto ao corporation, porque o inetd escuta na rede conexões. Ajustando Certificados Da Partida Do UsuárioQuando um usuário entra a um sistema de UNIX ou funciona determinados comandos, o sistema ativa uma variedade dos certificados para inicializar o ambiente de usuário. Estes certificados deixaram usuários customize seu ambiente computando funcionando comandos específicos durante o início de uma sessão. As limas startup do usuário o mais comum são descritas na tabela abaixo. Um atacante poderia adicionar uma única linha que contem o nome de um backdoor a qualquer destes certificados para ativar isso backdoor quando o certificado é funcionado. Fazendo a matérias mais mau uniforme, estes certificados são dispersados durante todo os diretórios home dos usuários, assim como o diretório home para o cliente do superuser no sistema, raiz. Porque não são armazenados em uma única posição, os administradores podem ter o problema seguir abaixo o customization dos usuários individuais destas limas. Muitos destes certificados são 10 a 50 linhas longas, lotes outra vez oferecendo das opções para que um atacante sneak na ativação de um backdoor.
Trabalhos evil programando com CronUm método popular final para ativar um backdoor em UNIX envolve programar um trabalho que funcione o backdoor usando o daemon do cron. Cron trabalha rather como o scheduler de tarefa de Windows. Em determinadas horas predefinidas, o cron executa os certificados, que poderiam incluir backdoors. Cron é configurarado usando as limas do crontab, que são encontradas em /etc/crontab e em /etc/cron.d para trabalhos do administrador de sistema. Os usuários individuais podem também criar trabalhos programados no diretório de /etc/spool/cron. Adicionando uma única entrada a qualquer destas limas, um atacante podia programar um backdoor para começar em uma estadia específica, ou durante a iniciação de sistema. Assim, usando o cron, um atacante pode configurarar o sistema para começar acima o backdoor cada hora, se não estiver funcionando já. Essa maneira, se meu processo backdoor começar sempre matado por um administrador de sistema, por um reboot da máquina, ou por um ruído elétrico de sistema, eu terei que somente esperar um máximo de uma hora antes que a máquina o reinicie para mim. Defesas: Detectando Técnicas Começando Backdoor de UNIXAssim, adicionando acima de todas as áreas diferentes um atacante pode usar-se começar um backdoor, você pôde olhar diverso cem limas e os diretórios, consistindo em algumas mil linhas de difícil-à-leram certificados. Que dor! Claramente, procurarar o ninho deste rato por backdoors não é algo que um ser humano típico poderia fazer em uma base regular. Para esta razão, você deve usar uma ferramenta automatizada que alertas você quando as mudanças são feitas às vários limas e certificados da configuração alistados nesta seção. Diversos programas verificando da integridade popular da lima estão disponíveis em uma base comercial e livre para agir como seus empregados digitais em realizar este objetivo. Como suas contrapartes de Windows que nós discutimos mais cedo, estas ferramentas críam uma base de dados de cryptographic hashes esse ato como impressões digitais digitais de suas limas de sistema críticas e verificam periòdicamente seu estado do sistema de encontro a ele. Um número enorme da integridade da lima que verifica ferramentas está disponível para UNIX. O granddaddy destas ferramentas é o Tripwire venerable, disponível em uma base comercial e livre para UNIX em www.tripwire.com e em www.tripwire.org, respectivamente. Também, o AIDE das ferramentas da fonte (www.cs.tut.fi/~rammer/aide.html) eo Osirislivres, abertos (http://osiris.shmoo.com/) executam verificações similares. este é um artigo adicionado por Greg McKlein
|
|||||||||||||||||||||||||||||||||||||||||
|