UNIX入侵调查—贾照坤

• 检查root suid程序
– find / -type f \( -perm -4000 -o -perm -2000 \) –print；对照基线
5
寻找入侵线索/异常进程
• 检查进程
– ps –aef | grep inetd；重点检查inetd
– ps –aef；检查./
6
内容提要
• 寻找入侵线索 • 掌握系统状态 • 系统检查 • 后门检测 • 恢复系统以及应用
– /etc/rc*是开机自动运行脚本，也经常被攻击者利用。
– 用户启动文件，如login,profile, .bashrc, .cshrc, .exrc可能被插入特洛伊 语句，在被入侵的事件中就曾被利用过。
20
系统检查/检查系统日志-1
• 大多数UNIX的日志在/var/log和/var/adm目录下 • 比较重要的二进制日志文件：
18
系统检查/检查启动文件
• 检查inetd.conf
– cat /etc/inetd.conf |grep -v ‘^#’ ；检查随启动加载的服务
19
系统检查/检查计划任务
• 检查cron
– 目录/var/spool/cron下的root文件
– /usr/spool/cron下的root文件；有人喜欢在半夜启动木马运行一个 bindshell，然后过几个小时又把开放的端口关闭。
• 使用chmod +t /tmp设置sticky
17
系统检查/检查特殊文件
• SUID和SGID文件：
– find / -type f \( -perm -04000 -o -perm -02000 \) -ls
– 从中查找那些原本不含有S位的，不寻常的或是被放在一个奇怪地方的S 位程序。把/bin/ksh改名后放在/tmp(777)目录下就是一种后门。
• 定期更新系统补丁
– 有些补丁和其他组件存在兼容性问题，安装前需要阅读readme
• Point补丁：
– patch base code-revision num – 发布比较快 (如110668-04)
• Cluster补丁
– 是一系列point补丁的重新包装并带有自动安装程序 – version_Recommended;9_x86_Recommended.zip是针对Solaris 9 for X86的补丁 集 – /pub-cgi/show.pl?target=patches/patchaccess&nav=patchpage
– Su – informix;onstat -
• 系统漏洞检索
– /
9
内容提要
• 寻找入侵线索 • 掌握系统状态 • 系统检查 • 后门检测 • 恢复系统以及应用
10
系统检查
• 检查用户登录 • 检查系统进程列表 • 检查网卡状态 • 检查开放端口 • 检查/tmp文件系统 • 检查特殊文件
– – utmp,用w工具访问； wtmp,用last工具访问；
––lastlo来自,用lastlog工具访问；pacct进程记账日志,用lastcomm工具访问
21
系统检查/检查系统日志-2
• 常见的ASCII文本日志文件：
– apache日志--access_log；
• 命令历史记录文件；
– /var/log/messages;
• 二进制木马后门
– 将可执行文件替换 – 检查时间戳
– 检查校验和
– strings 输出可打印字符串
26
后门检测/daemon后门
• daemon 服务后门
– UDP 后门
– TCP 后门 – Raw socket 后门
27
后门检测/cronjob后门
• Cronjob 后门
– 通过系统的 cron 守护进程启动
7
掌握系统状态
• 获取系统版本信息 • 获取系统补丁信息 • 获取应用版本信息 • 系统漏洞检索
8
掌握系统状态
• 获取系统版本信息
– Uname -a
• 获取系统补丁信息
– Showrev -p
• 获取应用版本信息
– telnet;
– Su - oracle; sqlplus '/ AS SYSDBA‘; select * from v$version;
• 修改/etc/passwd文件使系统用户没有shell • 清除banner信息 • Umask权限设置为027 • 启用帐户密码策略
– 修 改 /etc/default/passwd 文 件 ； PWMIN=1 ， PWMAX=13 ， PWWARN=4 ， PWLEN=8
37
恢复系统以及应用/系统安全加强-2
30
后门检测/sniffer后门
• Sniffer 后门
– Sniffer 后门用来监听主机或网络，以获取敏感数据
31
内容提要
• 寻找入侵线索 • 掌握系统状态 • 系统检查 • 后门检测 • 恢复系统以及应用
32
恢复系统以及应用
• 修补系统漏洞 • 系统安全加强 • 启动应用并测试
33
恢复系统以及应用/修补系统漏洞-1
3
寻找入侵线索/判断入侵时间
• 检查最近被修改过的文件
– find / -mtime -3 -print
• 使用tripwire检查
– /usr/local/bin/tripwire –init创建基线检查
– /usr/local/bin/tripwire进行检查
4
寻找入侵线索/异常文件
• 检查/etc/passwd和/etc/shadow
UNIX入侵检测
内容提要
• 寻找入侵线索 • 掌握系统状态 • 系统检查 • 后门检测 • 恢复系统以及应用
1
寻找入侵线索
• 保护现场
• 入侵时间
• 异常文件
• 异常进程
2
寻找入侵线索/保护现场
• 制作磁盘快照或备份
– # dd if=/dev/sda of=/dev/sdb
• 记录所作的全部操作
35
恢复系统以及应用/修补系统漏洞-2
• Cluster补丁的安装
– 建议进入单用户模式安装补丁 – 解压后执行./install_Cluster脚本安装补丁 – 可以通过修改patch_order文件来决定安装或不安装某Patch
• 常见的return code
– Return code 2说明此补丁已被安装
• Shell历史记录
– less ~/.bash_history – 如果.bash_history被链接到/dev/null文件，或者环境变量中的 $HISTFILE,$HISTFILESIZE两个变量值为0，那么肯定有人非法活动过了
23
内容提要
• 寻找入侵线索 • 掌握系统状态 • 系统检查 • 后门检测 • 恢复系统以及应用
– 检查 /var/spool/cron/crontabs 或 /var/spool/cron 目录中的 crontab 文 件
28
后门检测/动态库后门
• 动态库后门
– 修改动态库里的函数安置后门 – 使用tripwire检查文件改动
29
后门检测/LKM后门
• LKM 后门
– 修改系统调用
– chkrootkit – kstat – module_hunter
– ls –l /etc/passwd；检查文件修改时间
– logins -d；logins -p
– awk -F: ‘$3==0 {print $1}’ /etc/passwd；检查uid等于0的帐户 – awk -F: ‘length($2)==0 {print $1}’ /etc/shadow；检查空口令用户
11
系统检查续
• 检查启动文件 • 检查计划任务 • 检查系统日志
12
系统检查/检查用户登录
• 使用w检查当前登录用户
• 使用last检查用户登录记录
– Last -30
13
系统检查/检查系统进程列表
• Solaris中使用ps –eaf
• FreeBSD和Linux中则使用ps –aux
14
24
后门检测/帐号后门&rhosts后门
• 帐号后门
– 检查 /etc/passwd – 查看 UID=0 – 查看 shell 字段
• rhosts++ 后门
– 检查 /etc/hosts.equiv – 查看每个用户的 $HOME/.rhosts – 查看是否增加了“信任”主机
25
后门检测/二进制木马后门
– Return code 8说明此补丁要修复的软件没有被系统安装
– Return code 35说明系统已经安装比此补丁更新的补丁
36
恢复系统以及应用/系统安全加强-1
• 关闭不必要的服务 • 记录INETD连接的所有信息
– 启动行中增加"-t"参数；例如：/usr/sbin/inetd -s -t
34
恢复系统以及应用/修补系统漏洞-2
• 使用patchadd patch base code-revision num 安装补丁
– 在/var/sadm/patch目录下记录了已安装的补丁 – 使用patchadd -p 选项可以检验已安装的patch
• 使用patchrm patch base code-revision num 卸载补丁
• 防止root从远程登录
– 修改/etc/default/login文件中如下行：CONSOLE=/dev/console