so_sal　

/* * http://sosal.tistory.com/ * made by so_Sal */ 침해 사고가 발생한 시스템에서 증거 확보 및 차후 분석을 위해서 디스크 이미지를 복사하려고 한다. 다음 조건을 만족하도록 dd 를 이용하여 백업을 수행하고 생성된 디스크 이미지 파일의 md5 체크섬을 계산하라. (백업 이미지는 자신의 홈디렉토리에서만 생성 가능하다.) 1. dd를 사용하여 바이트 단위로 복사 2. 복사 대상 파티션 : /home 3. 생성된 디스크 이미지 파일이름 : victim.data.dd 해킹사고가 발생하였을시, 현재 컴퓨터 상태를 분석하기 위해 필히 복사를 해야한다. 포렌식 도중에 OS 환경이 바뀔 시, 증거자료로 사용할 수 없게되기 때문이다. 그럼 디스크 이미지를 복사하는 방법은? : 'd..

/* * http://sosal.tistory.com/ * made by so_Sal */ smp2010 중, 6번 바이너리 해킹문제 입니다. 문제파일입니다. 리눅스 서버에서 wget 툴을 사용하여 바이너리를 일단 받죠. (위 파일의 url임) wget http://sosal.tistory.com/attachment/cfile23.uf@167E83114CEC1DCD1F4271 받은 파일의 이름을 간단하게 바꾸고, file 명령어로 실행이 가능한 파일인지 확인 후 실행해봤습니다. Segmentation fault! 작렬하네요. argv를 넣어보니, 뭔가 인자를 발견했다 하고 바로 꺼지네요..? (일단 설치하고 문제 프로그램의 이름을 myfile로 수정하여 공격하겠습니다.) 매개변수를 여러개 넣어도 같은 결..

/* * http://sosal.tistory.com/ * made by so_Sal */ 고객으로부터 web server 게시판으로 upload가 되지 않는다는 항의가 접수 되었다. 해당하는 서비스는 당신이 관리하는 솔라리스 시스템의 /var 파티션과 관련이 있다. 문제의 시스템을 살펴 본 결과, 해당 파티션의 사용 가능한 공간 (available disk space)이 0 이었고, 여유 공간이 전혀 없는 상태였다. 그런데, 특이한 점은 해당 파티션 내에 문제를 발생시킬만한 크기의 파일을 찾을 수 없었다. 모든 상황을 고려해 볼때, 모종의 프로세스가 unlink된 어떤 파일에 대고 dummy data를 계속적으로 write하고 있을 가능성이 높은 것으로 생각된다. 해당 프로세스를 찾아 죽이고, 문제가 ..

/* * http://sosal.tistory.com/ * made by so_Sal */ .rhosts 파일은 보안상 별로 권장되지 않은 파일임에도 불구하고 일부 사용자들은 계속 사용하는 경향이 있다. yspace라는 계정 사용자가 홈디렉토리에 만든 .rhosts을 삭제하고 앞으로도 만들지 못하도록 조치하시오. .rhosts 같은 파일들이 계속 생성되지 않게 하기 위해서, 타 권한으로 보통 같은이름의 디렉토리를 생성합니다. 또는 /dev/null로 심볼릭 링크를 거는 경우도 있던것 같던데.. 여튼.. 같은이름의 디렉토리를 만들어주고 삭제할 수 없도록 퍼미션 설정만 해주면 해결되는 문제입니다. 난이도는 고급인데.. 흠; 디렉토리에 퍼미션 설정이 안되서 찾아보니 안에 파일을 하나 만들면 되네요. 일반적으로..

/* * http://sosal.tistory.com/ * made by so_Sal */ 관리중인 솔라리스 시스템에 계정을 가지고 있는 내부사용자들에게 패스워드를 자주 바꿀것을 공지하고 있으나 일부 사용자들이 잘 따라주지 않아서 부득이 강제로 패스워드를 바꿔야하는 제한기간을 설정해야 한다. yspace라는 계정의 패스워드 정책을 다음과 같이 강제 설정하시오. - 패스워드를 바꾼지 14일이 되면 무조건 새 패스워드로 바꿔야함. - 패스워드를 새로 바꾼지 만 하루가 지나기 전에는 패스워드를 변경할 수 없음. (단, yspace라는 계정에 대해서만 적용되어야 하고 타 계정에 영향을 주어서는 안됨) [passwd] 시스템 모든 계정은 /etc/passwd파일에 관련 항목을 가지고 있다. 이 파일에는 각 행마다..

/* * http://sosal.tistory.com/ * made by so_Sal */ Solaris시스템(13.155.33.234)을 관리하던 중 H보안회사(233.235.231.233)로부터 다음과 같은 항의메일을 받았다. 시스템을 점검하여 해커가 설치한 해킹프로그램을 삭제하시오.참고로 이 시스템이 셋업된 날짜는 2001년 10월1일이며, H사로부터 보내온 로그파일은 다음과 같다. Oct 26 18:07:45 233.235.231.233 rpc.statd[189]: gethostbyname format string attack from 13.155.33.234 Oct 26 18:08:14 233.235.231.233 rpc.statd[189]: gethostbyname format string a..

/* * http://sosal.tistory.com/ * made by so_Sal */ 솔라리스의 NFS(Network File System)을 이용하여 NFS서버로부터 파일시스템을 마운트하는 NFS클라이언트 시스템을 구축하고 싶다. 현재 네트웍에 존재하는 NFS서버의 hostname은 nserver 이며 NFS서버에서 제공하는 파일시스템은 /export/share이다. 그런데 위 NFS서버에서는 kerberos를 이용한 암호화 NFS만을 제공한다고 하며, 본 시스템(hostname은 nclient)은 이미 위 NFS서버의 principal에 등록이 된 상태이며, NFS서버로부터 kerberos ticket도 이미 받은 상태이다. Kerberos의 암호화 옵션을 이용하여 위 NFS서버의 파일시스템을 ..

/* * http://sosal.tistory.com/ * made by so_Sal */ Solaris시스템에 해커가 침입하여 root 권한을 빼앗기는 보안사고가 발생하였다. 해커가 침입을 한 상태에서 설치한 백도어를 찾아내야 한다. 그런데 이번 해킹패턴을 보면 /usr/sbin/ 디렉토리 있는 네트웍서비스 프로그램중에 하나가 백도어로 바뀐것으로 강하게 의심된다. 다행히도 해킹사고가 발생하기 이전에 /backup/usr/sbin 이라는 디렉토리를 만들어서 원본파일들을 이미 복사해 놓았다. 원본파일과 비교하여 백도어 프로그램을 찾아내시오. (찾아낸 후에 정답확인 프로그램을 실행하여 백도어 프로그램 파일명을 입력하시오). cksum이라는 명령어를 살펴보겠습니다. 파일에 CRC 체크섬과 바이트 개수를 출력한..

/* * http://sosal.tistory.com/ * made by so_Sal */ csh를 사용하는 솔라리스 시스템 로그인을 한 상태에서 파일을 새로 생성할때마다 파일모드가 -rw-r-r-- (644)로 된다. 하지만 이 파일모드는 다른 유저가 파일 내용을 열람할 수 있는 취약점이 있기 때문에 좋지 않아서 일일이 생성된 파일에 대해서 chmod명령어를 통하여 -rw------- (600)으로 바꿔줘야만 했다. 이 작업은 번거롭기 때문에 쉘환경변수를 적절히 변경하여 새로 파일을 생성할때마다 default 파일모드가 -rw------- (600)이 되도록 설정하시오. 단, 이문제에서는 현재 접속되어 있는 쉘에 대해서만 일회성으로 바로잡으면 되며, 쉘환경변수 값을 영구적으로 바로잡기 위해 resour..

/* * http://sosal.tistory.com/ * made by so_Sal */ 회사의 홈페이지 서버로 사용하기 위한 용도로 Linux시스템을 인스톨 하였다. 하지만, 인스톨하는 과정에서 일부 네트웍서비스가 같이 인스톨되었다. 이중, named 같은 네트웍서비스는 불필요한 것이므로 disable시켜야 된다. 시스템 설정을 변경시켜서 이 서비스가 영구적으로 제공되지 않도록 하시오. (단, 나중에 다시 이 네트웍서비스가 필요하게 될지 확실치 않기 때문에 서비스 관련 파일들을 완전히 삭제해서는 안된다.) 미션의 조건은, named라는 서비스를 종료시키고, 영구적으로 제공되지 않도록 해야한다네요. 일단, 문제에서 말한 named 서비스를 종료시키기 위해서.. 먼저 서버 백그라운드에서 돌아가고 있는 n..