книги хакеры / журнал хакер / 078_Optimized

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

НЬЮСЫ

w

o

.

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

ðîéo

расположен PID процесса; в третьей могут быть следующие

w

.

.c

p

g

df

e

n

значения: ~~, bw, число или буква и число. Эти метки обозначают

-xcha

struct utmp

{

short int ut_type;

// Тип записи

pid_t ut_pid;

// Идентификатор процесса

char ut_line[UT_LINESIZE]; // Имя устройства (console, ttyxx)

char ut_id[4];

// ID из файла /etc/inittab (обычно номер линии)

long int ut_session;

// ID сессии

struct timeval ut_tv;

// Время создания записи

int32_t ut_addr_v6[4];

// IP-адрес удаленного хоста

char __unused[20];

// Зарезервировано

};

struct exit_status {

short int e_termination;

// Системный код завершения процесса

short int e_exit;

// Пользовательский код завершения

};

[структура utmp.h в FreeBSD]

struct utmp {

char ut_line[UT_LINESIZE];

// Имя устройства(console, ttyxx)

char ut_name[UT_NAMESIZE];

// Входное имя пользователя

char ut_host[UT_HOSTSIZE];

// Имя удаленного хоста

time_t ut_time;

// Временная метка

};

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

Стоит отметить, что на страницах man эти структуры описаны, но

o

w

.

.c

p

g

df

n

e

всегда надо смотреть в заголовочные файлы — истина только там.

-x cha

[â Linux]

struct lastlog

{

__time_t ll_time;

char ll_line[UT_LINESIZE];

char ll_host[UT_HOSTSIZE];

};

[â FreeBSD]

struct lastlog

{

time_t ll_time;

char ll_line[UT_LINESIZE];

char ll_host[UT_HOSTSIZE];

};

Как видишь, отличие только в названии типа ll_time. В Linux суще-

ствует отдельный заголовочный файл lastlog.h. Обычно он содер-

жит только одну строчку «#include <utmp.h>», то есть вся информа-

ция находится в файле utmp.h.

[как скрыть информацию от who] Вообще способов сокрытия за-

писей от таких администраторских утилит, как who, w и так далее,

существует великое множество. Например, можно внедрить мо-

дуль ядра, который будет перехватывать системные вызовы. Мож-

но подменить сами файлы who и w, чтобы они показывали только

часть информации. Наконец, можно с помощью systrace блокиро-

вать некоторые syscalls для изменения поведения утилит. Но так как

сейчас мы рассматриваем непосредственно файлы wtmp, utmp

и lastlog, то разберем, как можно скрыть нужную информацию пу-

тем модификации самих этих логов.

Существуют функции updwtmp() и logwtmp() для добавления но-

вых записей к текущему файлу wtmp. А как происходит удаление

записей из бинарных логов? Как правило, записи в файлах utmp,

wtmp и lastlog удаляет та программа, которая их вносила, напри-

мер login. Причем на самом деле записи не удаляются — в соот-

ветствующей структуре очищаются поля с входным именем поль-

зователя и именем хост-машины, а значение, которое было в поле

времени (ut_time), изменяется на время выхода. В файлах utmp и

]

wtmp дополнительно производится модификация типа записи

101

(ut_type) ñ USER_PROCESS íà DEAD_PROCESS.

UNIXOID

[определения для ut_type, взятые из utmp.h:]

#define EMPTY 0 // Отсутствие пользовательской информации

#define RUN_LVL 1 // Системный уровень выполнения

#define BOOT_TIME 2 // Время загрузки системы

#define NEW_TIME 3 // Время после изменения системного времени

#define OLD_TIME 4 // Время, когда системное время было изменено

#define INIT_PROCESS 5 // Процесс, порожденный вызовом init

#define LOGIN_PROCESS 6 /* Процесс зарегистрировавшегося в

системе пользователя */

#define USER_PROCESS 7 // Нормальный процесс

#define DEAD_PROCESS 8 // Завершенный процесс

#define ACCOUNTING 9 // Системный учет

Таким образом, можно удалить информацию из логов двумя спо-

собами:

1Найти по имени пользователя (имени хоста, названию термина-

ла и т.д.) нужную запись в лог-файле и очистить поля с входным

именем пользователя и именем хост-машины или просто с помо-

щью вызова memset() или bzero() обнулить все поля структуры.

2 Скопировать из логов всю информацию, кроме той, которую

нужно скрыть, во временный файл, а потом заменить содержимым

>

очищенного файла первоначальный лог.

05

Уже написано много утилит-клинеров (logs cleaner), которые мо-

[78]

дифицируют тем или иным способом файлы utmp, wtmp и lastlog.

06

Наиболее известными из них являются: marry, logcloak, cloack2, re-

[XÀÊÅÐ

stormsecurity.nl).

move, zap2, vanish, wipe (с исходниками лежат на www.packet-

hang

e

C

E

X

-

d

F

t

D

i