Skip to content

조회 수 9868 추천 수 0 댓글 0
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

1. 개요
리눅스에서 해킹의 증상들은 여러 지가 있다.
일반적인 명령어들y(ls, pstree, ps, top) 명령어들이 사용되지 않거나 또는 시스템 다운 등이 있다.
해킹을 미연에 방지 하는게 가장 좋은 방법이지만, 이미 해킹 당한 시스템을 복구하고, 문제점을 찾아내는 것도 중요하다.

2. 해킹을 판단하기 위한 유용한 명령어

1.Chrootkit

  • rootkit 탐지를 위한 도구로 네트워크 인터페이스의 promisc 모드, lastlog/wtmp 로그파일의 삭제 여부 등을 탐지하며, lrk5의 설치 유무에 대해서 검사한다.
  • ftp://ftp.pangeia.com.br/pub/seg/pac 에서 다운 받을 수 있다.
    참고 사이트 : http://www.chkrootkit.org/
    [root@ancigo chkrootkit-0.45]# ./chkrootkit

  • infected : 루트킷으로 변형되었음
  • not infected : 어떤 루트킷의 증후를 발견하지 못했다.
  • Not tested : 점검이 수행되지 못했다.
  • Not found : 점검한 command가 없을 때

    2.rpm -Va

  • 패키지들을 검증해서 패키지 변조여부를 확인할 수 있다.

    가 . find /dev -type f

  • [root@linuxone root]# find /dev -type f
    /dev/MAKEDEV
  • /dev/MAKEDEV 등과 같이 device를 관리하고자 하는 파일 이외의 것이 검색되면 일단 의심해봐야 합니다.

    라. /tmp

  • tmp 디렉토리에 알수 없는 소유권자와 실행파일들이 있으면 의심을 해볼 필요가 있다.
    ls -al /tmp

    마. lsattr 명령어

  • [root@ancigo root]# /usr/bin/lsattr /bin
  • [root@ancigo root]# /usr/bin/lsattr /sbin
  • [root@ancigo root]# /usr/bin/lsattr /usr/bin
  • [root@ancigo root]# /usr/bin/lsattr /usr/sbin
  • 관리자가 특별하게 속성을 넣어주지 않으면 ex> ------------- /bin/ls 형식으로 나타난다.

    바. ifconfig 명령

  • 크래커가 설치한 rootkit에 의해 ifconfig 파일까지도 변조 될수도 있다. Ifconfig 명령 결과 다음과 같이 PROMISC 모드로 나타나는 경우 해당서버에서 스니퍼가 돌고 있다는 증거입니다. .
  • [root@ancigo root]# /sbin/ifconfig
    inet addr: xxx.xxx.xxx.xxx Bcast: xxx.xxx.xxx.xxx Mask: 255.255.255.0
    UP BROADCAST RUNNING PROMISC MULTICAST

    사. netstat 명령

  • [root@ancigo root]# /bin/netstat ?an | grep LISTEN
    tcp 0 0 127.0.0.1:8005 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:8009 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:110 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN
  • 위와같은 명령으로 서버에 열린 포트를 확인하여 의심가는 포트가 있다면 포트를 물고 있는 데몬을 찾아 봅니다.

    아. [root@ancigo root] # vi /etc/passwd 파일을 열어서 알수 없는 사용자가 추가 되어 있으면 의심을 해봐야 한다.

    3.결론
    해킹을 판단하는 것보다 예방이 무엇보다 중요하다. 하지만 해킹이 의심된다면 문제를 잘 파악해서 해킹에 의해 피해를 본 시스템을 복구해야 한다.


  • 참고로 제가 운영중인 카페에 있는자료들입니다.

    가입하셔도 보실수 없는 자료들입니다.

    http://cafe.naver.com/itgogo.cafe



    1. 홈페이지 보안 강화 도구(CASTLE) 보급 안내

      Date2010.01.22 ByADMINPLAY Views8929
      Read More
    2. 홈페이지 변조 대처법 (FTP 계정을 이용한 아이프레임 코...

      Date2009.10.15 ByADMINPLAY Views9047
      Read More
    3. 해킹툴이 사용하는 포트번호

      Date2009.05.22 ByADMINPLAY Views9818
      Read More
    4. 해킹이 의심될 때 사용되는 명령어들

      Date2010.03.08 Byl2zeo Views9868
      Read More
    5. 해킹 당했는지 알아보는 방법

      Date2010.05.03 ByADMINPLAY Views19992
      Read More
    6. 해외에서 접근하는 IP 차단하기

      Date2009.11.30 ByADMINPLAY Views9262
      Read More
    7. 파일 퍼미션 설정을 통한 로컬 공격 방지

      Date2010.03.08 Byl2zeo Views8172
      Read More
    8. 최신 버전으로 구축하는 웹 파이어월, modsecurity

      Date2009.03.17 ByADMINPLAY Views12856
      Read More
    9. 접속 로그파일 보기(wtmp)

      Date2009.05.11 ByADMINPLAY Views13883
      Read More
    10. 웹취약점 점검

      Date2008.11.25 ByADMIN Views9258
      Read More
    11. 웹어플리케이션 보안

      Date2010.05.03 ByADMINPLAY Views17163
      Read More
    12. 안티 루트킷 사용 예

      Date2010.03.28 Byl2zeo Views11577
      Read More
    13. 실전 테스트!! 스니퍼 공격

      Date2009.11.30 ByADMINPLAY Views9774
      Read More
    14. 시스템 로그를 메일로 - logcheck

      Date2009.09.08 ByADMINPLAY Views8776
      Read More
    15. 스위칭 허브 상에서의 sniffing 툴

      Date2009.09.08 ByADMINPLAY Views9583
      Read More
    16. 서버종합점검[리눅스]

      Date2009.05.28 ByADMINPLAY Views8371
      Read More
    17. 서버의 iptable 보안설정 일부분

      Date2009.05.28 ByADMINPLAY Views8790
      Read More
    18. 보안서버로 redirection 설정 하기

      Date2008.12.14 ByADMIN Views10275
      Read More
    19. 보안서버구축 - SSL(설치 및 키생성)

      Date2009.01.04 ByADMIN Views10467
      Read More
    20. 보안서버 구축시 openssl/modssl/apache 버전 호환성

      Date2008.12.14 ByADMIN Views10904
      Read More
    Board Pagination Prev 1 2 3 4 5 Next
    / 5

    Copyright ADMINPLAY corp. All rights reserved.

    abcXYZ, 세종대왕,1234

    abcXYZ, 세종대왕,1234