バックドアが自動的に開始
休憩を攻撃するときには、システムをインストールしていない勝手口と、彼は、あるいは彼女、通常は手動で有効にして裏口プログラムです。 しかし、攻撃の際に、お使いのマシンのログのうち、彼は、あるいは彼女には、もはや直接制御します。 このため、どのような裏口保持して実行して日常的な根拠は、左側の後、悪役ですか？ と仮定する厄介なシステムを再起動し、システム管理者、あるいはさらに悪いことには、マシンがクラッシュします。 を起動するときにボックスをオンにすると、実行中の裏口はありません、これ以上、否定して自分の苛烈な攻撃にアクセスできます。 この救済策を懸念材料となり、通常の狡猾な悪役を変更するマシンを再起動して自動的に裏口を定期的、特に中に、システムの起動プロセスです。 このセクションでは、どのようにいたします話し合う悪人システムを操作することを確認してバックドアが自動的に再起動します。 これらのメソッドのためには、システムの種類に大きく依存するので、私たちの分析windows版とunixのメカニズムを個別に裏口を開始します。 バックドアを設定するウィンドウを起動するごったがえすwindowsマシンは、さまざまなプログラムの自動スタートアップ機能します。 場所の名前を、攻撃者がプログラムやスクリプトを実行中のいずれかのさまざまな場所で自動的に起動して、オペレーティングシステムのプログラムをしています。 概して、 windowsマシンを提供する3種類の悪意のあるメカニズムを自動的に起動（あるいはnonmalicious ）コード：一握りのファイルやフォルダを自動スタート、多くのレジストリ設定、およびスケジュールされたタスクします。 起動時のファイルやフォルダを変更する議論されたファイルの起動を開始しましょうとfolders.the表は以下のとおり説明していくつかの場所では自動的に有効に任意のスクリプトを実行可能ファイルとは、 windowsシステム上の特定のイベントが発生したときなど、システムを起動したり、特定のユーザーのマシンにログインしています。 アタッカーの名前を含む可能性のあるプログラムが裏口のいずれかのファイルやフォルダを取得することを自動的にターゲットシステムで実行されます。
レジストリの乱用ファイルやフォルダを越えて、いくつかのレジストリキーの目的のために虐待することができ、自動的に裏口を活性化します。 レジストリの巨大なデータベースは、住宅の詳細設定や、 windowsオペレーティングシステムのさまざまなプログラムがインストールされボックスをオンにしています。 それぞれのキーを変更することができregedit.exeプログラムを使用して、レジストリエディタのwindows nt/2000/xp/2003マシンに組み込まれました。 実験を計画している場合、これらのキーのいずれか、それは非常に重要なものがあり、お客様のシステムのバックアップを作成する前に、レジストリを微調整します。 いくつかの重要な鍵を誤って変更した場合は、レジストリ、ホース、お使いのマシンを完全にできているので、ブート不能です。 ますので、あらかじめご注意してください。 重要なレジストリキーを自動的に起動プログラムは次のとおり：
ふー！ それは長い、醜いのリストが、それは重要であると認識することが、非常に多くの場所を攻撃者がいくつかの名前を隠しておくひどく邪悪な裏口を取得することが始まりました。 このリストに疲労困憊するかもしれませんが、すべてを網羅することはできませました。 現在および将来のバージョンのwindowsされる可能性がさらに多くのレジストリ設定を自動的に起動ソフトウェアは、複雑なシステムのwindowsの成長とその後の各パッチ、リリース、およびアプリケーションをインストールします。 注意して、これらのいくつかのレジストリ設定で始まる手紙hklmや他始まるhkcuます。 どちらの場合も、蜂の巣のh略で、リファレンスをするの塊は、 windowsのレジストリします。 hklm略で蜂の巣キーをローカルマシン、およびシステム全体の設定を示します。 hkcu略で蜂の巣キーを現在のユーザー、およびその人を識別し、現在の設定をwindowsマシンにログインしています。 ほとんどの場合、プログラムやサービスを起動するためには、 hklmの設定は、最初に実行され、次いでhkcuアイテムです。 また、 hkcr 、蜂の巣の略である鍵のルートクラスは、さまざまなプログラムを識別してオープンされたウィンドウの下では、特定のイベントです。 問題を悪化させることは、このリストだけではない方法でのコンポーネントの起動を開始するプログラムが自動的にウィンドウ内にします。 まだを取らなければならタスクスケジューラを見ています。 害するのタスクスケジューラ人気の最終的な方法を自動的に開始する裏口windows上nt/2000/xp/2003マシンのスケジュール設定では、タスクを実行するには、システムです。 タスクスケジューラサービスを使用して、攻撃者にシステムを伝えることができ、特定のプログラムを実行し、特定の時間帯は、特定の日付、または特定のイベントが発生したときなど、システム起動またはユーザーがログオンします。 新しいタスクをスケジュールすることができたり、お使いのシステムは既に予定されているスケジュールされたタスクのguiを使用して、システムのコントロールパネルを開きます。 また、利用することができ、コマンドラインツールwindows nt上、 2000 、およびxpまたはschtasksコマンドでwindows xpと2003年のどちらにも表示したり、タスクのスケジュールです。 guiとコマンドラインの両方を示す高レベルのビューは、システム上のプログラムを実行する予定です。 atコマンドで提供され、詳細は有用です。 そのような情報を得るのうち、 guiのは、あなたも認めざるをクリックして個別のタスクをスケジュールされたタスクのフォルダに表示されます。 guiの1つのいいものについては、それがすべて含まれて表示されているタスクによって呼び出されるタスクのスケジューラなど、時間をベースに、システム起動時に行動します。 注意してタスクを実行するにはid番号2が含まれてコマンドラインを実行するbackdoor.exeます。 うわあ、どのようなことをやるかもしれないんだろう！ 防衛：検出ウィンドウを開始裏口テクニックこのため、攻撃者が大勢の方法を設定するには、長い裏口を実行した後でwindowsの悪い男が残っている。 このような攻撃を防ぐため、悪人を維持する必要があり、お客様のシステムをオフにして第1位です。 少し長いが予防の方法でこのタイプの攻撃を阻止します。 しかし、最大の予防の手順にもかかわらず、いくつかまだ攻撃する方法を見つけるかもしれない。このため、予防を超え、攻撃を検出するにはどうすれば、お客様のシステムの再設定を自動的に開始する裏口か？ まあ、手動でチェックすることができたびにすべてのファイルとフォルダのレジストリキーに表示され、テーブルの上にスケジュールされたタスクを表示すると、もし何かうさんくさい予定されました。 残念なことに、これらのすべての可能性を手動でチェックが必要にたくさんの時間を費やしてい悔しい冷たい、孤独な孤立します。 うれしそうに、そこのようなすてきな自由と呼ばれるツールが自動起動して救出して来ました。 無料で利用できるから、立派な人たちでsysinternals www.sysinternals.comで、このプログラムを自動的にリストのすべてのタスクを自動的に起動してウィンドウズするnt/2000/xpボックスで、起動を含むフォルダ、ファイル、レジストリ設定、およびスケジュールされたタスクします。 ツールのみが表示されませんが自動起動して、さまざまなスタートアップレジストリキー、フォルダ、およびタスクを分散システム全体が、それにも示してきた値に設定されています。 正確な名前を見ることができ、各プログラム、サービス、または起動時にスクリプトを実行するための各メソッドを取得します。 それはハンディを持つリストには、両方のセキュリティやトラブルシューティングのためにします。 を使って自動起動したら、を掘ることはできませんが大勢のレジストリキーを介してフォルダを参照して、システム起動中のプログラムが実行されます。 すべての情報を収集するの良いguiで、これをサポートしても自動的にジャンプを各フォルダまたはレジストリキーの値を簡単に編集することができます。 私は確かに大ファン自動起動したら、しかし、それには注目に値するの制限を実行したときに自動的にさまざまなバックドアを見つけるために使用します。 正確にはどのような宣伝が自動起動して：これらのプログラムやスクリプトを示して活性化したときには、システムを起動すると、特定のユーザーでログインします。 しかし、に焦点を当てて起動とログオンのイベントのみ、表示されませんが自動起動し任意のタスクを実行することが予定さに基づいて特定の時間帯の日です。 スケジュールを攻撃する可能性を再起動していない勝手口毎朝午後3時、および自動起動して表示されませんので、それは時間帯に基づいています。 このため、自動起動を見つけるに頼っている場合は自動的に起動、バックドアには、まだまだ思い出してチェックしてスケジュールされたタスクは、スケジュールされたタスクを調べコントロールパネルでは、 atコマンドを実行して、または使用してschtasksコマンドを使います。 また、活用することができ、ファイルの整合性のチェックプログラムを検索するための任意の手直ししてwindowsマシンの重要なシステムファイルやレジストリキーがあります。 これらのプログラムを含むデータベースの既知の良好な指紋の重要なシステムファイルやレジストリ値を含め、ファイルとディレクトリに関連付けられたユーザーのシステムが起動すると初期化します。 ときに変更が検出されると、このツールでは警告を発することができて、誰が行った変更図：標準的なシステムのメンテナンスを行う、システム管理者または邪悪な攻撃を曲がって世界征服します。 初期化後に、データベースを作成するツールを使用しての指紋、スケジュールすることができ、ファイルの整合性のチェックプログラムを定期的に実行するなど、毎日、または1時間ごとにさえします。 それを実行するときに、このツールでは、ファイルを確認するために手直しを見るように言っています。 それを見つけたときの1つを変更するスタートアップ初期化ファイルまたはユーザーがこのセクションに記載さ、そして和解しなければ、システム管理者の変更を含むすべての最近の活動の合法的なシステムです。 ファイルの整合性チェッカーのような人間の行為の警備員、警備お使いのシステムの不正な変更を行います。 合法的に修正プログラムをインストールした場合は、管理者は、改造、起動プロセス、または変化して、ユーザーの環境では、ツールの警告は単に人騒がせます。 そうしないと、アタッカーの中をうろつくかもしれませんして、システムの設定を変更する裏口を開始します。 この和解のプロセスは、かすかな心ではありませんします。 かなりの努力を必要とすることは、システム管理者の団体が、より簡単までのすべての整合性をチェックして1つのファイルやディレクトリを手にします。 多数のwindowsファイルの整合性のチェックプログラムは利用できない場合、 tripwireのバージョンを含め、商業、 www.tripwire.comます。 残念なことに、無料お試し版をサポートしていないウィンドウズのtripwireのです。 他にもいくつかのファイルの整合性のチェックツールを使用windows用を含むgfi languardシステムの整合性を監視するとionxデータセンティネルます。 unixのバックドアを開始確かに、 windowsシステムを提供する多くのプログラムを実行する方法を自動的に始まりますが、どちらかunixはありません前かがみになっています。 実際のところ、 unix系のシステムは非常に勝手気ままに自分の好みのプログラムを起動するスクリプトとします。 windowsのと同様に、 1つのたびに、これらのテクニックを開始する可能性がある虐待を受けていない勝手口ます。 unix上、いくつかのカテゴリーに陥るのテクニックなど、システムの初期化スクリプトを追加または変更して、設定を変更して、インターネットデーモン（ inetdの）は、ユーザーの環境を変えること、そして仕事のスケジュール設定します。 プロセスの設定を変更してユーバー： inittabのunixシステムが起動したときには、さまざまな初期化スクリプトを実行するとプログラムします。 最初のプロセスを実行する場合は、 unixマシンのinitデーモンは、他のすべてのプロセスをアクティブにシステム起動中に必要に応じています。 ファイル/ etc / inittabの話のinitスクリプトが含まれなければなら他にどのようなプロセスを開始します。 アタッカーの行を追加する可能性inittabのファイルを起動すると、攻撃者自身の裏口の一環として起動シーケンスします。 inittabのエントリが含まれ、ファイルのフォーマット[ idを] ： [ rstate ] ： [アクション] ： [プロセス]は、次のように定義：
他のシステムやサービスの初期化スクリプトの変更ほとんどのunixシステムでは、このファイルは、通常inittabの指示を実行するのinitシリーズのサービスの初期化スクリプトを実行してさまざまなサービスを開始するボックスをオンにします。 inittabの代わりに変えること自体、攻撃者を変更する可能性もある、これらのさまざまなサービスの初期化スクリプトを、これといったサービスを開始するのhttpd （ webサーバ）のsendmail （人気のメールサーバー） 、およびにsshd （セキュアシェルデーモンリモートアクセスを確保するために使用される）します。 風味に応じて、特定のunixは、これらのサービスに保存され、初期化スクリプトはしばしば/ etc / rc.dにまたは/ etc / init.dのディレクトリにある。 で、典型的なunixシステムでは、 20名以上のようなスクリプトは、各10 〜 50行である、肥沃な土地を提供し、植物の裏口ます。 裏口追加するだけで、攻撃者がこれらのスクリプトを1つのディレクトリ、または変更してもすでに既存のスクリプトをキックオフさせる裏口ます。 たとえば、私が新たに追加するサービスと呼ばれるhttpb （注の末尾に" b "のための裏口、のように見える"とのhttpd " ） 、あるいは変更して既に存在して本物のhttpdを開始するスクリプトを実行するように私の最初の裏口、それから、ウェブサーバーが起動します。 としての最終的な攻撃をして起動スクリプトは、攻撃者だけでも、植物の裏口に設定ファイルが、既存のサービスの1つとして初期化スクリプトを実行することを開始している。 たとえば、もしあなたのシステムでは、これまでのポイントツーポイントプロトコル（のppp ）へのダイヤルアップ接続のモデム、マシンにインストールされ、設定スクリプトを実行しようと呼ばれるの/ etc /のppp / ipをup.localます。 ほとんどの場合、このスクリプトは必要ありませんので、通常の空白にします。 しかし、私は私の場所の名前を裏口で、このファイル、およびたびにダイヤルアップモデムを使用して、私の意地の悪い裏口が実行されます。 inetdの後に行くの設定これらのさまざまな起動スクリプトを超え、攻撃の設定を変更するにも頻繁に広く使われて1つの特定のプロセスをサポートするネットワークサービス、すなわち、インターネットデーモン（ inetdのは、発音します。 "ネットのi -ディー"を参照） 。 unixのボックスをオンにすると、ネットワークのトラフィックinetdのプロセスを待つために、さまざまなサービスなどのftp 、 telnetのなどがあります。 inetdのトラフィックを受信するときに、これらのサービスの1つを意図し、それを実行に関連するサーバーのトラフィックを処理する場合は、設定を実行するサービスです。 攻撃を受ける可能性の行を変更または追加するinetdの設定ファイルは、保存され/ etc / inetd.confファイルは、ファイルまたは/ etc / xinetd.dディレクトリに応じて、特定のunix風味ます。 inetdの設定を変更するには、攻撃者がinetdの教えを実行する際に特定の裏口は、特定のトラフィックが到着tcpまたはudpポートします。 inetdの裏口の変更を開始するには、世界で最も共通の技術を使用していない勝手口今日unixシステムに反対します。 社内階層類推、 inetdのは、ディレクターが、非常に重要なものの1つです。 この買収ディレクター、攻撃者のリモートアクセスを与える可能性の法人のため、 inetdのを聞いて、ネットワーク上の接続できません。 ユーザーの起動スクリプトの調整ときに、ユーザーのログをunixシステムまたは特定のコマンドを実行すると、システムのさまざまなスクリプトを有効にすると、ユーザーの環境を初期化します。 これらのスクリプトましょう彼らのコンピューティング環境をカスタマイズするユーザーが特定のコマンドを実行中にログインしてください。 ユーザーが最もよくスタートアップファイルに記述され表をご覧ください。 1つ追加する可能性を、攻撃者の名前を含む行を裏口のいずれかのスクリプトを有効にして裏口ときにスクリプトが実行されます。 問題を悪化させることにも、これらのスクリプトが点在するユーザーのホームディレクトリと同様、ホームディレクトリには、スーパーユーザーのアカウントには、システム、ルートにあります。 はありませんので、 1つの場所に保存され、管理者は、個人ユーザーを追跡するのに苦労する'これらのファイルをカスタマイズします。 これらのスクリプトの多くは、 10 〜 50行である、再び多くのオプションを提供し、攻撃者がこっそり中に裏口の活性化します。
悪でcronジョブのスケジュール設定最終的な人気を活性化するための1つの方法は裏口unix上のスケジュールで仕事を実行して裏口cronデーモンを使用しています。 むしろ作品のように、 windowsのcronのタスクスケジューラます。 特定の定義済みの回、 cronのスクリプトを実行し、バックドアを含めることができます。 cronはcrontabの設定ファイルを使用し、これが見つかった/ etc / crontabにと/ etc / cron.dため、システム管理者の仕事です。 個人ユーザーを作成することも予定の仕事では/ etc /スプール/ cronのディレクトリにあります。 1つのエントリを追加し、これらのファイルのいずれかで、攻撃者が裏口を開始するスケジュール設定するには、特定の時間、またはシステムの初期化中です。 このため、 cronを使って、攻撃者にシステムを設定することができ裏口1時間ごとに起動して、既に実行されていない場合です。 こうすることで、これまでのプロセスを取得すればよい裏口に殺され、システム管理者は、マシンを再起動し、システムクラッシュや、私を待つしかない。最大1時間前、マシンを再起動していてくれました。 防衛： unixの裏口を検出する技術を開始このため、追加して、さまざまな分野のすべての使用を開始することができ、攻撃者裏口、あなたかもしれませんが数百個のファイルとディレクトリを見て、数千行の構成が困難なスクリプトを読んでいます。 面倒くさい！ 明らかに、このネズミの巣を検索するためのバックドアの典型的な人間ではありません何かを定期的にできませんします。 このため、自動化ツールを使用する必要があり、変更を行ったときにアラートを、さまざまな設定ファイルやスクリプトのこのセクションに記載されます。 人気の高いいくつかのファイルの整合性のチェックプログラムは、無料で利用可能な商業ベースとして動作するように、お使いのデジタル使用人で、この目標を達成します。 ウィンドウズのような彼らの対応を話し合ったことこれに先立って、これらのツールを作成するデータベースの暗号化ハッシュのようなふりをして、お客様のデジタル指紋重要なシステムファイルやシステムの状態を定期的にチェックして反対しています。 膨大な数のファイルの整合性のチェックをunixツールを使用します。 これらのツールは、祖父の由緒tripwireのは、商業との両方で利用可能な基盤を無料でのunix www.tripwire.com www.tripwire.orgと、それぞれします。 また、無料で、オープンソースのツール補佐官（ www.cs.tut.fi/ 〜突き棒/ aide.html ）と似たようなオシリス（ http://osiris.shmoo.com/ ）を実行するかを確認します。 これは、記事に追加され、グレッグmcklein
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|