리눅스 침해 사고 분석 보고서

소개

리눅스 침해 사고 분석

목차

Ⅰ. 초기분석
1. 시스템 환경 정보
2. 프로세스 정보
3. 네트워크 상태 분석
4. 사용자 정보
5. 주요 설정 파일 및 로고 파일
6. 피해 시스템 스캐닝

Ⅱ. 상세분석
1. tool을 사용 분석
2. 알려진 공격 방법 검사
3. 변조된 파일 검사
4. MAC Time 분석

Ⅲ. 시나리오
1. 로그파일을 통한 해킹 시나리오 작성

본문내용

2. 알려진 공격 방법 검사
-/etc/crontab 주기적으로 패스워드 파일과 shadow을 주기적으로 해커가 만들어 놓은 것으로 바꿔 치기 하소 /usr/bin/nc가 외부로 접속을 시도하고 있으나 현 nc에서는 -e명열을 사용 할 수 없으므로 마지막 명령은 실행 안된다.

- Rootshell binding 백도어
1. 초기 분석시 3이라는 알 수 없는 프로세스가 37998이란 포트를 열어 놓은 것을 백도어로 예상
2. 위치 찾기 find 명령으로는 찾을 수 없어서 포트를 이용하여 찾는다.
3. 3이 사용하는 포는 lsof _i _p _n 으로 초기에 확인한 결과 37998 포트를 사용하는 것으로 알 수 있다.
4. netstat - nap / grep 37998 로 실제 파일을 찾을 수 있다.
5. ttyload를 확인 할 결과 /usr/sbin/ttypload 가 /sbin/ttyload를 링크하고 있다.
6. 37998 포트로 접속한 결과 : 백도어 임을 알 수 있다.

3. 변조된 파일 검사
-oldpwd와 rkhunter에서 찾아낸 파일을 기준으로 변조 되거나 생산된 파일을 검사
결과 : 몇 개의 변경된 파일이 실행이 안되는 것을 볼 수 있었고, OLDPWD가 가리키고 있는
/usr/local/apache/htdocs/bbs 디렉토리에 많은 수상한 파일들이 존재 하였음

참고자료

· 없음