"घुटने पर" यूजरलैंड-रूटिट अज़ज़ेल के लिए एंटी-रूटकिट

यहां ValdikSS उपयोगकर्ता - न्यू यूजरलैंड-रूटकिट अज़ज़ेल से बड़ी खबर है। मुझे पहले पैराग्राफ को उद्धृत करें:

आपने रूटकिट्स Jynx और Jynx2 के बारे में सुना होगा। ये तथाकथित यूजरलैंड रूटकिट हैं; वे LD_PRELOAD चर की संभावना का उपयोग करते हैं, जो प्रोग्राम लॉन्च होने से पहले किसी भी लाइब्रेरी को लोड करने की अनुमति देता है। वे पहले से ही अपेक्षाकृत पुराने हैं, लेकिन फिर भी अच्छी तरह से काम करते हैं।
2 दिन पहले, github उपयोगकर्ता Chokepoint ने rootkit Azazel को पोस्ट किया था। यह Jynx स्रोत कोड पर आधारित है और इसमें कई नई विशेषताएं हैं:

विरोधी डिबगिंग तंत्र
Unhide, lsof, ps, ldd से छिपाएं
फाइलों और निर्देशिकाओं को छिपाना
दूरस्थ कनेक्शन छिपाएँ
छिपाने की प्रक्रिया
छिपने के लोगिन
PCAP के माध्यम से स्थानीय ट्रैफ़िक सूँघने से छिपाएँ
पूर्ण गोले के साथ 2 पीठ (PTY के साथ):
- क्रिप्टकूट स्वीकार () - पिछले दरवाजे
- सामान्य स्वीकार () - पिछले दरवाजे
किसी भी उपयोगकर्ता के तहत प्रमाणीकरण के लिए PAM बैकडोर
पीटीवाई के लिए सफाई utmp / wtmp लॉग
Xor के माध्यम से संकलित पुस्तकालय लाइनों का अवलोकन।

इस प्रकार, rootkit LD_PRELOAD माध्यम से किसी भी लाइब्रेरी को लोड करने की मानक क्षमता का उपयोग करता है। सवाल यह है कि क्या इसे किसी तरह नियंत्रित किया जा सकता है?



क्रिया नहीं होने के लिए, मैं तुरंत लिनक्स कर्नेल के लिए एक सरल समाधान प्रस्तुत करूंगा, जो execve फ़ंक्शन (या यों कहें, sys_execve ) को envp करता है, उनमें एक निश्चित स्ट्रिंग की उपस्थिति के लिए पर्यावरण चर (जिसे envp रूप में जाना जाता है) की सूची के मापदंडों को स्कैन करता है, अर्थात् वही LD_PRELOAD ।

तो, समाधान को कर्नेल मॉड्यूल के रूप में डिज़ाइन किया गया है। फंक्शन इंटरसेप्शन पहले लेखों में वर्णित तरीकों पर आधारित है:

• लिनक्स कर्नेल में प्रबंधित पेजफॉल्ट
• अपवादों का उपयोग करते हुए लिनक्स कर्नेल फ़ंक्शन को इंटरसेप्ट करना (डू-इट-योरसेल्फ क्रप्रब्स)

निम्नलिखित कोड का उपयोग sys_execve फ़ंक्शन को रोकने के लिए किया जाता है:

 DECLARE_KHOOK(sys_execve); long khook_sys_execve( const char __user * file, const char __user * const __user * argv, const char __user * const __user * envp ) { long result; KHOOK_USAGE_INC(sys_execve); scan_env_for((void *)file, (void *)envp, env_token); result = KHOOK_ORIGIN(sys_execve, file, argv, envp); KHOOK_USAGE_DEC(sys_execve); return result; } 

इंटरसेप्टेड फंक्शन sys_execve मूल कॉल करने से तुरंत पहले, एनवायरमेंट वेरिएबल के पत्राचार के लिए एक खोज दी गई है env_token string को। सरल scan_env_for फ़ंक्शन यह करता है :

 void scan_env_for(char * file, char * envp[], const char * token) { int i; char * string; char * string_ptr; if (!envp || !token) return; string = kmalloc(MAX_ARG_STRLEN + 1, GFP_KERNEL); if (!string) { debug("Can't get memory for the environ string\n"); return; } for (i = 0; i < MAX_ARG_STRINGS; i++) { if (get_user(string_ptr, envp + i)) { debug("Can't get user pointer value\n"); goto out_kfree; } if (string_ptr == NULL) goto out_kfree; if (strncpy_from_user(string, string_ptr, MAX_ARG_STRLEN) == -EFAULT) { debug("Can't get user string\n"); goto out_kfree; } string[MAX_ARG_STRLEN] = 0; if (strncmp(string, token, strlen(token)) == 0) { char * filename; filename = kmalloc(PATH_MAX + 1, GFP_KERNEL); if (filename) { strncpy_from_user(filename, file, PATH_MAX + 1); filename[PATH_MAX] = 0; } debug("Attention, task \"%s\" trying to execute \"%s\" with \"%s\"\n", \ current->comm, filename ? filename : "(unknown)", string); kfree(filename); goto out_kfree; } } out_kfree: kfree(string); } 

जैसा कि आप देख सकते हैं, जब यह शुरू होता है, तो स्मृति आवंटित की जाती है और पर्यावरण चर के सभी संभव स्ट्रिंग तत्वों को स्कैन किया जाता है। स्कैन के अंत में, मेमोरी को तदनुसार मुक्त किया जाता है। यदि आवश्यक रेखा कर्नेल लॉग में पाई गई थी, तो एक चेतावनी प्रदर्शित की जाएगी।

मॉड्यूल के स्वास्थ्य की जांच करने के लिए, इसकी विधानसभा के बाद, आप निम्नलिखित कार्य कर सकते हैं:

 $ sudo insmod envscan.ko env_token=\"LD_PRELOAD=\" $ dmesg | grep envscan [37713.809903] [envscan] Symbol "module_free" found @ ffffffff810bdcd0 [37713.810190] [envscan] Symbol "module_alloc" found @ ffffffff810407e0 [37713.810523] [envscan] Symbol "sort_extable" found @ ffffffff81048a90 [37713.810524] [envscan] Hunting for "LD_PRELOAD=" [37713.811798] [envscan] Symbol "sys_execve" found @ ffffffff8119ba30 $ LD_PRELOAD=/lib/ld-linux.so.2 ls [37743.786499] [envscan] Attention, task "bash" trying to execute "/bin/ls" with "LD_PRELOAD=/lib/ld-linux.so.2" 

इस प्रकार, हम कह सकते हैं कि पैरानॉयड उपयोगकर्ताओं के लिए एक समाधान है जो अनुमति देता है, यदि वांछित है, तो LD_PRELOAD की क्षमताओं से जुड़ी परेशानियों से खुद को बचाने के लिए।

उन लोगों के लिए जो कम आतंकपूर्ण हैं, यह सामग्री कर्नेल के साथ काम करने के तरीके के बारे में जानकारी के स्रोत के रूप में काम कर सकती है, अर्थात् इसके कार्यों को रोकना और सिस्टम के व्यवहार को संशोधित करना।

मॉड्यूल कोड जीथब पर उपलब्ध है।