1. 해커가 침투했다면 부팅관련 init를 변경했을 위험이 있다.
만약 변경되었다면 부팅이 되지 않는다.
/etc/rc.d 에 보면 init가 있다.
서버 전원넣으면 바이오스에서 하드웨어 감지하고, 마스터 하드로 점핑해주죠.
마스터 하드(부팅관련)점핑되면 lilo에서 해당 커널을 올려줘요
그러면 해당 커널로 로딩되면서 /etc/init.d/에 있는 런레벨 스크립트를 실행하죠
만약 init가 엉망이면 부팅 실패되면 컴퓨터 멈춰버리죠
이럴 경우는 복원모드로 들어가서 작업해줘야 되죠
복원모드는 linux rescue
** 참고
파티션 구성하는 부분에서 중요데이터가 있는 파티션을 제외한 나머지는 새로 잡아줘서 재설치해주면 되요.
그래서 리눅스 셋팅시 파티션 계획이 아주 중요하죠.(이것도 내공은 약하지만 정리해서 공개할께요)
/database, /log, /home 등은 독립파티션으로~
위의 중요파티션을 제외하고 나머지는 새로 파티션 잡고 설치한 후 취약한 부분 패치해주고 이런식이죠
2. 변경되어있는 명령어 있나 확인
lsattr /bin/* | more 해서 변경되어있는 명령어 있나 확인
lsattr /sbin/* | more
만약에 변경되어 있다면,
rpm -qf 변경된명령어 하면 변경된명령어가 포함된 패키지명이 나온다
이것을 강제로 재설치해주면 되는데, 이것이 해킹당한 명령어 복원해주는 기술이다.
예를들어서 /bin/su 명령어가 변경되었을 경우,
[root@ecweb-7 tmp]# rpm -qf /bin/su 해보면
coreutils-4.5.3-19.0.2 패키지명이 출력되죠
이것을 재설치해주면 된다.
참고사이트 http://www.blocus-zone.com/modules/news/print.php?storyid=639
3. 백도어 찾기
find /dev -type f 해서
MAKEDEV 요것만 나오면 정상이고, 다른거 나오면 100% 백도어임
4. 프로세서 검색
netstat -tnapu |grep LISTEN 해서 이상한 프로세서 띄워져 있으면,
프로세스 PID 값을 복사하여 커멘드라인에서 ls -al /proc/pic값 주면
스크립트 돌아가고 있는 디렉토리 위치 보여짐
여기에서 rm -rf 명령을 이용하여 삭제
** PID값이란?
프로세스가 시작될 때 커널에서 부여해주는 값으로, 참고로 PID값은 모두 다르다.
예를들어서,
ps -aux 했을 때 아래의 프로세스가 악성일 경우
nobody 13338 0.3 0.8 17084 9272 ? S 13:06 1:13 /usr/local/apache/bin/httpd
ls -al /proc/13338 해보면
lrwxrwxrwx 1 root 1001 0 9월 17 18:17 exe -> /usr/local/apache/bin/httpd
식으로 경로추적되요
대부분 nobody 사용자로 불법접근해서 루트 따먹기 위해 악성코드 돌리는데
exe -> 위치가 /var/tmp 혹은 /tmp 이에요
요런건 바로 삭제해줘야죠
이제 어설픈 해커나 크래커들에게 당하고 울지 않기를~~~
부타카케~~ 부타카케~~ 상처받지 않기를~~~<div class='small'>[이 게시물은 관리자님에 의해 2011-10-31 17:32:05 Linux에서 이동 됨]</div>
만약 변경되었다면 부팅이 되지 않는다.
/etc/rc.d 에 보면 init가 있다.
서버 전원넣으면 바이오스에서 하드웨어 감지하고, 마스터 하드로 점핑해주죠.
마스터 하드(부팅관련)점핑되면 lilo에서 해당 커널을 올려줘요
그러면 해당 커널로 로딩되면서 /etc/init.d/에 있는 런레벨 스크립트를 실행하죠
만약 init가 엉망이면 부팅 실패되면 컴퓨터 멈춰버리죠
이럴 경우는 복원모드로 들어가서 작업해줘야 되죠
복원모드는 linux rescue
** 참고
파티션 구성하는 부분에서 중요데이터가 있는 파티션을 제외한 나머지는 새로 잡아줘서 재설치해주면 되요.
그래서 리눅스 셋팅시 파티션 계획이 아주 중요하죠.(이것도 내공은 약하지만 정리해서 공개할께요)
/database, /log, /home 등은 독립파티션으로~
위의 중요파티션을 제외하고 나머지는 새로 파티션 잡고 설치한 후 취약한 부분 패치해주고 이런식이죠
2. 변경되어있는 명령어 있나 확인
lsattr /bin/* | more 해서 변경되어있는 명령어 있나 확인
lsattr /sbin/* | more
만약에 변경되어 있다면,
rpm -qf 변경된명령어 하면 변경된명령어가 포함된 패키지명이 나온다
이것을 강제로 재설치해주면 되는데, 이것이 해킹당한 명령어 복원해주는 기술이다.
예를들어서 /bin/su 명령어가 변경되었을 경우,
[root@ecweb-7 tmp]# rpm -qf /bin/su 해보면
coreutils-4.5.3-19.0.2 패키지명이 출력되죠
이것을 재설치해주면 된다.
참고사이트 http://www.blocus-zone.com/modules/news/print.php?storyid=639
3. 백도어 찾기
find /dev -type f 해서
MAKEDEV 요것만 나오면 정상이고, 다른거 나오면 100% 백도어임
4. 프로세서 검색
netstat -tnapu |grep LISTEN 해서 이상한 프로세서 띄워져 있으면,
프로세스 PID 값을 복사하여 커멘드라인에서 ls -al /proc/pic값 주면
스크립트 돌아가고 있는 디렉토리 위치 보여짐
여기에서 rm -rf 명령을 이용하여 삭제
** PID값이란?
프로세스가 시작될 때 커널에서 부여해주는 값으로, 참고로 PID값은 모두 다르다.
예를들어서,
ps -aux 했을 때 아래의 프로세스가 악성일 경우
nobody 13338 0.3 0.8 17084 9272 ? S 13:06 1:13 /usr/local/apache/bin/httpd
ls -al /proc/13338 해보면
lrwxrwxrwx 1 root 1001 0 9월 17 18:17 exe -> /usr/local/apache/bin/httpd
식으로 경로추적되요
대부분 nobody 사용자로 불법접근해서 루트 따먹기 위해 악성코드 돌리는데
exe -> 위치가 /var/tmp 혹은 /tmp 이에요
요런건 바로 삭제해줘야죠
이제 어설픈 해커나 크래커들에게 당하고 울지 않기를~~~
부타카케~~ 부타카케~~ 상처받지 않기를~~~<div class='small'>[이 게시물은 관리자님에 의해 2011-10-31 17:32:05 Linux에서 이동 됨]</div>
댓글 2개
19년 전
find /dev -type f 해서
/dev/.udev.tdb
출력이 되는데요.
이는 백도어가 아니라고 합니다. 참조링크
http://linux-sarang.net/board/?p=read&table=qa&no=211741
http://linuxfromscratch.org/pipermail/lfs-dev/2004-September/049089.html
http://wiki.kldp.org/wiki.php/BooyoLiveCD/RcdotSysinit?action=raw
/dev/.udev.tdb
출력이 되는데요.
이는 백도어가 아니라고 합니다. 참조링크
http://linux-sarang.net/board/?p=read&table=qa&no=211741
http://linuxfromscratch.org/pipermail/lfs-dev/2004-September/049089.html
http://wiki.kldp.org/wiki.php/BooyoLiveCD/RcdotSysinit?action=raw
13년 전
clamav, rkhunter 이런 툴을 이용하는것도 괜찬을 것 같습니다.
게시판 목록
프로그램
| 번호 | 제목 | 글쓴이 | 날짜 | 조회 |
|---|---|---|---|---|
| 1530 |
1111111
|
18년 전 | 1952 | |
| 1529 |
행복속네잎크로버
|
18년 전 | 3447 | |
| 1528 |
행복속네잎크로버
|
18년 전 | 1827 | |
| 1527 |
1111111
|
18년 전 | 7638 | |
| 1526 |
1111111
|
18년 전 | 3284 | |
| 1525 |
행복속네잎크로버
|
18년 전 | 1268 | |
| 1524 |
행복속네잎크로버
|
18년 전 | 2300 | |
| 1523 |
행복속네잎크로버
|
18년 전 | 3502 | |
| 1522 |
행복속네잎크로버
|
18년 전 | 2358 | |
| 1521 |
행복속네잎크로버
|
18년 전 | 2123 | |
| 1520 |
행복속네잎크로버
|
18년 전 | 2752 | |
| 1519 |
행복속네잎크로버
|
18년 전 | 3714 | |
| 1518 |
행복속네잎크로버
|
18년 전 | 3479 | |
| 1517 |
행복속네잎크로버
|
18년 전 | 2558 | |
| 1516 |
행복속네잎크로버
|
18년 전 | 1910 | |
| 1515 |
행복속네잎크로버
|
18년 전 | 1928 | |
| 1514 |
행복속네잎크로버
|
18년 전 | 2503 | |
| 1513 |
행복속네잎크로버
|
18년 전 | 1981 | |
| 1512 | 18년 전 | 2868 | ||
| 1511 | 18년 전 | 1658 | ||
| 1510 | 18년 전 | 2204 | ||
| 1509 | 18년 전 | 1679 | ||
| 1508 | 18년 전 | 2137 | ||
| 1507 | 18년 전 | 2356 | ||
| 1506 | 18년 전 | 2291 | ||
| 1505 | 18년 전 | 2243 | ||
| 1504 | 18년 전 | 2172 | ||
| 1503 | 18년 전 | 3481 | ||
| 1502 | 18년 전 | 1661 | ||
| 1501 | 18년 전 | 3439 | ||
| 1500 | 18년 전 | 2018 | ||
| 1499 | 18년 전 | 5288 | ||
| 1498 | 18년 전 | 2146 | ||
| 1497 |
hsp1980
|
18년 전 | 2329 | |
| 1496 |
hsp1980
|
18년 전 | 1723 | |
| 1495 |
hsp1980
|
18년 전 | 2131 | |
| 1494 |
hsp1980
|
18년 전 | 3644 | |
| 1493 | 18년 전 | 1497 | ||
| 1492 | 18년 전 | 1737 | ||
| 1491 | 18년 전 | 4314 | ||
| 1490 | 18년 전 | 3702 | ||
| 1489 | 18년 전 | 3262 | ||
| 1488 | 18년 전 | 3363 | ||
| 1487 |
mixdesign
|
18년 전 | 3863 | |
| 1486 |
mixdesign
|
18년 전 | 4322 | |
| 1485 | 18년 전 | 4246 | ||
| 1484 | 18년 전 | 2700 | ||
| 1483 |
hsp1980
|
18년 전 | 2309 | |
| 1482 |
hsp1980
|
18년 전 | 3245 | |
| 1481 |
hsp1980
|
18년 전 | 3160 | |
| 1480 |
hsp1980
|
18년 전 | 3317 | |
| 1479 | 18년 전 | 3254 | ||
| 1478 |
 Nextstep |
18년 전 | 4921 | |
| 1477 |
Nextstep |
18년 전 | 5205 | |
| 1476 | 18년 전 | 3402 | ||
| 1475 |
mixdesign
|
18년 전 | 2713 | |
| 1474 |
mixdesign
|
18년 전 | 2939 | |
| 1473 |
mixdesign
|
18년 전 | 2266 | |
| 1472 |
mixdesign
|
18년 전 | 2082 | |
| 1471 |
mixdesign
|
18년 전 | 2033 | |
| 1470 |
 꿈꾸는비행기 |
18년 전 | 3068 | |
| 1469 |
mixdesign
|
18년 전 | 2351 | |
| 1468 |
mixdesign
|
18년 전 | 2368 | |
| 1467 |
mixdesign
|
18년 전 | 2047 | |
| 1466 |
mixdesign
|
18년 전 | 2418 | |
| 1465 |
mixdesign
|
18년 전 | 3150 | |
| 1464 | 18년 전 | 4080 | ||
| 1463 | 18년 전 | 3368 | ||
| 1462 |
 소울메이트 |
18년 전 | 1997 | |
| 1461 |
소울메이트 |
18년 전 | 1938 | |
| 1460 | 18년 전 | 2855 | ||
| 1459 | 18년 전 | 1648 | ||
| 1458 |
소울메이트 |
18년 전 | 1999 | |
| 1457 |
mixdesign
|
18년 전 | 2290 | |
| 1456 |
mixdesign
|
18년 전 | 2153 | |
| 1455 | 18년 전 | 2261 | ||
| 1454 | 18년 전 | 4029 | ||
| 1453 | 18년 전 | 1772 | ||
| 1452 | 18년 전 | 4385 | ||
| 1451 | 18년 전 | 2916 | ||
| 1450 | 18년 전 | 2214 | ||
| 1449 | 18년 전 | 3267 | ||
| 1448 | 18년 전 | 2894 | ||
| 1447 | 18년 전 | 2823 | ||
| 1446 | 18년 전 | 5623 | ||
| 1445 | 18년 전 | 2289 | ||
| 1444 | 18년 전 | 3406 | ||
| 1443 |
 Callto |
18년 전 | 3320 | |
| 1442 | 18년 전 | 3704 | ||
| 1441 | 18년 전 | 3259 | ||
| 1440 | 18년 전 | 2435 | ||
| 1439 | 18년 전 | 2083 | ||
| 1438 | 18년 전 | 2535 | ||
| 1437 | 18년 전 | 6104 | ||
| 1436 | 18년 전 | 2730 | ||
| 1435 | 18년 전 | 4541 | ||
| 1434 | 18년 전 | 2036 | ||
| 1433 | 18년 전 | 10024 | ||
| 1432 | 18년 전 | 2473 | ||
| 1431 |
Psychedelico
|
18년 전 | 1538 |
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기