Comenzando Backdoors Automáticamente
Cuando un atacante se rompe en un sistema e instala un backdoor, él o ella activa generalmente manualmente el programa backdoor. Sin embargo, cuando los registros del atacante fuera de su máquina, él o ella son no más largos en el control directo del sistema. ¿Así pues, qué guarda que el funcionamiento backdoor sobre una base cotidiana después del mal individuo se ha ido? Suponga los reboots pesky de un administrador de sistema el el sistema, o peor todavía, la máquina se estrella. Cuando la caja empieza para arriba otra vez, el backdoor no funcionará más, negando al atacante el suyo o ella duro-lucho' el acceso. Para remediar esta preocupación, el bandido mañoso altera generalmente la máquina para recomenzar el backdoor automáticamente sobre una base periódica, especialmente durante el proceso del cargador del sistema. En esta sección, discutiremos cómo los malos individuos manipulan sistemas para cerciorarse de sus backdoors automáticamente recomenzar. Porque estos métodos dependen tan pesadamente del tipo del sistema, analizaremos los mecanismos que comienzan backdoor de Windows y de UNIX por separado. Creación Windows Backdoors a comenzarLas máquinas de Windows están vertiendo con diversas capacidades automáticas del start-up del programa. Un atacante podía poner el nombre de un programa o de una escritura ejecutable en de una variedad de localizaciones para hacer que el sistema operativo automáticamente comience ese programa. Generalmente hablando, las máquinas de Windows ofrecen tres diversos tipos de mecanismos para el código malévolo (o aún nonmalicious) automáticamente que comienza: un puñado de archivos y de carpetas del autoempezado, una plétora de ajustes del registro, y tareas programar. Alterar archivos y carpetas de lanzamientoComencemos por los archivos de lanzamiento que discuten y la tabla de folders.The abajo describe varias localizaciones que activen automáticamente executables y las escrituras arbitrarios en un sistema de Windows cuando ocurren los acontecimientos específicos, por ejemplo cargador del sistema o un usuario dado que registra en la máquina. Un atacante podía incluir el nombre de un programa backdoor en cualesquiera de estos archivos o carpetas para conseguirlo para funcionar automáticamente en el sistema de blanco.
Abusos Del RegistroMás allá de archivos y de carpetas, varias llaves del registro pueden ser abusadas con el fin automáticamente de activar un backdoor. El registro es una base de datos gigantesca que contiene la configuración detallada del sistema operativo de Windows y los varios programas que están instalados en la caja. Cada uno de las llaves se puede alterar usando el programa de Regedit.exe, un redactor del registro construido en las máquinas de Windows NT/2000/XP/2003. Si usted planea experimentar con cualesquiera de estas llaves, es extremadamente importante que usted hace una reserva de su sistema antes de pellizcar el registro. Si usted altera accidentalmente una cierta llave crítica en su registro, usted podría regar totalmente su máquina, haciéndolo unbootable. Así pues, tenga por favor cuidado. Las llaves críticas del registro para los programas automáticamente que comienzan se demuestran abajo: ¡Whew! Eso es una lista larga, fea, pero es importante reconocer que hay una porción tremenda de lugares que un atacante podría atesorar lejos el nombre de algún backdoor terrible malvado para conseguirlo comenzó. Aunque esta lista pudo agotar, no es exhaustiva. Las versiones actuales y futuras de la voluntad de Windows tienen probablemente aún más ajustes del registro para automáticamente comenzar software, pues la complejidad de Windows crece con cada remiendo, lanzamiento, y uso subsecuentes del sistema instalado. Observe que algunos de estos ajustes del registro comienzan con las letras HKLM y otros comienzan con HKCU. En ambos casos, el H está parado para la colmena, una referencia a un pedazo del registro de Windows. HKLM está parado para la máquina local de la llave de la colmena, e indica systemwide ajustes. HKCU está parado para el usuario actual de la llave de la colmena, e identifica los ajustes para la persona registrada actualmente en la máquina de Windows. La mayoría de la época, para comenzar encima de programas y de servicios, los ajustes de HKLM es ejecutada primero, seguido por los artículos de HKCU. También, HKCR, que está parada para las clases de la llave de la colmena arraigan, identifican los varios programas que son abiertos por Windows bajo acontecimientos específicos. Haciendo materias peores, esta lista de componentes de lanzamiento no es la única manera de comenzar programas automáticamente dentro de Windows. Todavía tenemos que hechar una ojeada el planificador de tarea. Minar el planificador de tareaUn método popular final para automáticamente comenzar un backdoor en las máquinas de Windows NT/2000/XP/2003 implica el programar de una tarea de funcionar en el sistema. Usando el servicio del planificador de tarea, un atacante puede decir el sistema funcionar un programa específico en los momentos específico, en fechas específicas, o cuando ocurren ciertos acontecimientos, por ejemplo la conexión del cargador del sistema o del usuario. Usted puede programar nuevas tareas en su sistema o visión los que esta' programar ya usando el GUI programar de las tareas en el panel de control de sistema. Alternativomente, usted podría utilizar en la comando-li'nea herramienta en Windows NT, 2000, y XP o los schtasks ordenan en Windows.xp y 2003 a las tareas de la visión o del horario. El GUI y la línea de comando demuestran una vista de alto nivel de los programas programar para funcionar en el sistema. El detalle proporcionado por en el comando es útil. Para conseguir esa clase de información del GUI, usted tendría que chascar encendido las tareas individuales demostradas en la carpeta programar de las tareas. Una cosa agradable sobre la opinión del GUI es que incluye todas las tareas invocadas por el planificador de tarea, incluyendo acciones tiempo-basado y del sistema del start-up. Note que la tarea con un número de la identificación de 2 incluye una línea de comando para funcionar backdoor.exe. ¡Gee, me pregunto lo que aquél pudo hacer! Defensas: Detección De las Técnicas Que comienzan Backdoor De WindowsAsí pues, los atacantes tienen un manojo de maneras de instalar un backdoor en Windows para funcionar de largo después de que el mal individuo se haya ido. Para prevenir tales ataques, usted necesita mantener a los malos individuos apagado de su sistema el primer lugar. Una pequeña prevención va una manera larga en parar este tipo de ataque. Sin embargo, uniforme con los pasos preventivos más grandes, algunos atacantes pudo el hallazgo inmóvil una manera adentro. ¿Así pues, más allá de la prevención, cómo puede usted detectar configurar de nuevo de un atacante de su sistema para comenzar automáticamente un backdoor? Bien, usted podría comprobar manualmente cada archivo y carpeta cada llave del registro demostrada en la tabla arriba y las tareas programar de ver si algo a pescado programar. Desafortunadamente, manualmente la comprobación de todas estas posibilidades requerirá los gobs del tiempo de la frustración pasados en el aislamiento frío, solo. Feliz, hay una herramienta libre agradable llamada AutoRuns que venga al rescate. Disponible en ninguna carga de la gente fina en Sysinternals en www.sysinternals.com, este programa enumera automáticamente todas las tareas automáticamente que comienzan en su caja de Windows NT/2000/XP, incluyendo carpetas de lanzamiento, archivos, ajustes del registro, y tareas programar. La herramienta de AutoRuns exhibe no sólo las muchas diversas llaves, carpetas, y tareas del registro del start-up distribuidas a través del sistema, sino que también demuestra los valores que se han fijado a. Usted puede ver el nombre exacto de cada programa, servicio, o escritura que consiga ejecutada durante el arranque para cada método. Eso es una lista práctica a tener, para la seguridad y los propósitos de localización de averías. Usando AutoRuns, usted no tendrá que cavar a través de un manojo de llaves y de carpetas del registro para ver qué programas se ejecutan durante cargador del sistema. Toda la información se recoge junta en un GUI agradable, que incluso apoya automáticamente saltar a cada llave de la carpeta o del registro así que usted puede corregir fácilmente su valor. Soy ciertamente un ventilador grande de AutoRuns, pero tiene una limitación significativa cuando está utilizado encontrar varios backdoors automáticamente de funcionamiento. AutoRuns hace exactamente qué anuncia: Demuestra esos programas y escrituras se activen que cuando el sistema comienza para arriba o los usuarios específicos a entrar. Sin embargo, con su foco en acontecimientos del arranque y de la conexión solamente, AutoRuns no demuestra ninguna tareas que programar al funcionamiento basado en momentos específico del día. Un atacante podría programar un backdoor para recomenzar cada mañana en 3:00 mañana, y AutoRuns no lo demostrará, porque se basa el hora. Si usted confía en AutoRuns para encontrar automáticamente comenzar backdoors, recuerde así pues, que usted todavía tiene que comprobar las tareas programar mirando en el panel de control programar de tareas, funcionando en el comando, o usando los schtasks ordenan. Además, usted podría utilizar un programa de comprobación de la integridad del archivo para buscar sus máquinas de Windows para cualquier alteración de los ficheros del sistema críticos y de las llaves del registro. Estos programas contienen una base de datos de las buenas huellas digitales sabidas de los ficheros del sistema críticos y de los valores del registro, incluyendo esos archivos y directorios asociados a la inicialización del arranque y del usuario de sistema. Cuando se detecta un cambio, la herramienta le alertará que así que usted puede calcular fuera de quién realizó el cambio: un administrador de sistema que realizaba mantenimiento estándar del sistema o un atacante malvado se dobló en la dominación del mundo. Después de inicializar la herramienta para crear la base de datos de huellas digitales, usted puede programar el programa de comprobación de la integridad del archivo para funcionar sobre una base regular, tal como cada día o aún cada hora. Cuando funciona, la herramienta comprobará para saber si hay alteraciones a los archivos que usted la dice mirar. Cuando encuentra un cambio a uno del arranque o los archivos de la inicialización del usuario descritos en esta sección, después el administrador de sistema debe reconciliar cualquier cambio con actividad legítima reciente del sistema. El inspector de la integridad del archivo actúa como un protector de seguridad humano, limpiando su sistema para los cambios desautorizados. Si el administrador instaló legítimo un remiendo, pellizcó el proceso del cargador, o alteró un ambiente de usuario, la alarma de la herramienta es simplemente un alarmar falso. Si no, un atacante pudo estar en el vagabundeo, modificando la configuración de sistema para comenzar para arriba un backdoor. Este proceso de la reconciliación no está para el débil del corazón. Requiere mucho de esfuerzo por la pieza del administrador de sistema, pero es lejos más fácil que comprobando la integridad de cada solos archivo y directorio a mano. Los programas de comprobación numerosos de la integridad del archivo de Windows están disponibles, incluyendo la versión comercial de Tripwire, en www.tripwire.com. Desafortunadamente, la versión libre de Tripwire no apoya Windows. Vario la otra integridad del archivo que comprueba las herramientas está disponible para Windows, incluyendo monitor de la integridad del sistema de GFI LANguard y centinela de los datos de Ionx. Comenzar UNIX BackdoorsSeguros, los muchos de la oferta de los sistemas de Windows de maneras de comenzar automáticamente a ejecutar programas, pero UNIX no es ningún slouch tampoco. De hecho, los sistemas de UNIX son extremadamente licenciosos en su gusto para comenzar encima de las escrituras y de los programas. Como con Windows, cada de estas técnicas se podía abusar para comenzar un backdoor. En UNIX, las técnicas bajan en varias categorías, incluyendo la adición o la modificación de las escrituras de la inicialización de sistema, modificando la configuración del demonio del Internet (inetd), alterando un ambiente de usuario, y programar trabajos. Modificación de los config del Uber-Proceso: inittabCuando se patea un sistema de UNIX, funciona una variedad de escrituras y de programas de la inicialización. El primer proceso a funcionar en una máquina de UNIX es el demonio del init, que activa el resto de los procesos necesitados durante cargador del sistema. El archivo /etc/inittab contiene a un init de la escritura diciendo lo que deben comenzar otros procesos él. Un atacante podría agregar una línea al archivo del inittab que comienza para arriba propio backdoor del atacante como parte de la secuencia del cargador. El archivo del inittab contiene entradas con el formato [ id]:[rstate]:[action]:[process ], definido como sigue:
Modificación de otras escrituras de la inicialización del sistema y del servicioEn la mayoría de los sistemas de UNIX, el archivo del inittab dice generalmente el init funcionar una serie de escrituras de la inicialización del servicio para comenzar varios servicios a funcionar en una caja. En vez de alterar el inittab sí mismo, un atacante podría también modificar estas varias escrituras de la inicialización del servicio, que comienzan los servicios tales como httpd (un servidor del Web), el sendmail (un mail server popular), y el sshd (el demonio seguro de la cáscara usado para el acceso alejado seguro). Dependiendo de su sabor particular de UNIX, éstos mantienen las escrituras de la inicialización se almacenan a menudo en los directorios de /etc/rc.d o de /etc/init.d. En un sistema típico de UNIX, hay 20 o más tales escrituras, cada 10 a 50 líneas desea, proporcionando la tierra fértil para plantar un backdoor. Un atacante podía agregar simplemente una escritura backdoor a uno de estos directorios, o aún altera las escrituras ya-existentes para golpear con el pie de un backdoor. Por ejemplo, podría agregar un nuevo servicio llamado httpb (observe el "b que se arrastra" para backdoor, que parece el "httpd"), o aún modifico la escritura ya-existente que comienza el httpd verdadero de modo que él primero los funcionamientos mi backdoor, y después enciende su servidor del Web. Como ataque final contra sus escrituras de lanzamiento, un atacante podría igualar la planta justa un backdoor en un archivo de la configuración que una de las escrituras existentes de la inicialización del servicio funcionará como empieza para arriba. Por ejemplo, si su sistema utiliza siempre el punto al protocolo de punto (PPP) para las conexiones de marcado manual del módem, la máquina intentará ejecutar una escritura de la configuración llamada /etc/ppp/ip-up.local. La mayoría del tiempo, esta escritura no es necesario, así que está generalmente en blanco. Sin embargo, podría poner el nombre de mi backdoor en este archivo, y cada vez que usted marca encima de usar su módem, mi funcionamiento backdoor repugnante de la voluntad. El ir después de la configuración de los inetdMás allá de estas escrituras de lanzamiento variadas, los atacantes también alteran con frecuencia la configuración de un proceso particular usado extensamente para apoyar los servicios de red, a saber el demonio del Internet (inetd, pronunciado "yo-red-dee"). En una caja de UNIX, el proceso del inetd espera el tráfico de la red para una variedad de servicios, incluyendo el ftp, el telnet, y otros. Cuando el inetd recibe el tráfico previsto para uno de estos servicios, funciona el servidor asociado para manejar el tráfico si se configura para funcionar el servicio. Los atacantes podrían modificar o agregar una línea al archivo de la configuración del inetd, que se almacena en el archivo de /etc/inetd.conf o en el directorio de /etc/xinetd.d, dependiendo del sabor particular de UNIX. Modificando la configuración de los inetd, un atacante podría decir el inetd funcionar un backdoor cuando el tráfico específico llega para un puerto particular del TCP o del UDP. El inetd de modificación para comenzar un backdoor es una de las técnicas backdoor más comunes del uso contra los sistemas de UNIX hoy. En nuestra analogía corporativa de la jerarquía, el inetd es director, pero extremadamente importante. El soborno de este director podría dar a un atacante el acceso alejado a la corporación, porque el inetd escucha en la red conexiones. Ajuste De las Escrituras Del Arranque Del UsuarioCuando un usuario entra a un sistema de UNIX o funciona ciertos comandos, el sistema activa una variedad de escrituras para inicializar el ambiente de usuario. Estas escrituras dejaron a usuarios modificar su ambiente para requisitos particulares que computaba funcionando comandos específicos durante la conexión. Los archivos de lanzamiento del usuario más común se describen en la tabla abajo. Un atacante podría agregar una sola línea que contenía el nombre de un backdoor de estas escrituras para activar eso backdoor cuando se funciona la escritura. Haciendo las materias del peor uniforme, estas escrituras se dispersan a través de los directorios caseros de los usuarios, tan bien como el directorio casero para la cuenta del superuser en el sistema, raíz. Porque no se almacenan en una sola localización, los administradores pueden tener apuro el seguir abajo del arreglo para requisitos particulares de los usuarios individuales de estos archivos. Muchas de estas escrituras son 10 a 50 líneas largas, porciones otra vez de ofrecimiento de las opciones para que un atacante haga furtivamente en la activación de un backdoor.
Trabajos malvados programar con CronUn método popular final para activar un backdoor en UNIX implica el programar de un trabajo que funcione el backdoor usando al demonio del cron. Cron trabaja algo como el planificador de tarea de Windows. En ciertas horas predefinidas, el cron ejecuta las escrituras, que podrían incluir backdoors. Se configura Cron usando los archivos del crontab, que se encuentran en /etc/crontab y /etc/cron.d para los trabajos del administrador de sistema. Los usuarios individuales pueden también crear trabajos programar en el directorio de /etc/spool/cron. Agregando una sola entrada de estos archivos, un atacante podía programar un backdoor para comenzar en un momento específico, o durante la inicialización de sistema. Así pues, usando el cron, un atacante puede configurar el sistema para comenzar para arriba el backdoor cada hora, si no está funcionando ya. Esa manera, si mi proceso backdoor consigue siempre matado por un administrador de sistema, un reboot de la máquina, o un fallo del sistema, tendré que solamente esperar un máximo de una hora antes de que la máquina lo recomienza para mí. Defensas: Detección De las Técnicas Que comienzan Backdoor de UNIXAsí pues, agregando encima de todas las diversas áreas un atacante puede utilizar comenzar un backdoor, usted puede ser que mire vario cientos archivos y los directorios, consistiendo en algunas mil líneas de difi'cil-a-leyeron las escrituras. ¡Un qué dolor! Claramente, buscar la jerarquía de esta rata para backdoors no es algo que un ser humano típico podría hacer sobre una base regular. Por esta razón, usted debe utilizar una herramienta automatizada que las alarmas usted cuando los cambios se realizan a los varios archivos y escrituras de la configuración enumerados en esta sección. Varios programas de comprobación populares de la integridad del archivo están disponibles sobre una base comercial y libre para actuar como sus criados digitales en lograr esta meta. Como sus contrapartes de Windows que discutimos anterior, estas herramientas crean una base de datos de criptográfico hashes ese acto como las huellas digitales digitales de sus ficheros del sistema críticos y comprueban periódicamente su estado del sistema contra él. Un número enorme de la integridad del archivo que comprueba las herramientas está disponible para UNIX. El granddaddy de estas herramientas es el Tripwire venerable, disponible sobre una base comercial y libre para UNIX en www.tripwire.com y www.tripwire.org, respectivamente. También, el AYUDANTE de las herramientas de la fuente (www.cs.tut.fi/~rammer/aide.html) yel Osirislibres, abiertos (http://osiris.shmoo.com/) realizan cheques similares. esto es un artículo agregado por Greg McKlein
|
|||||||||||||||||||||||||||||||||||||||||
|