「Linux＋ApacheのWebサーバを標的とするルートキット」記事へのコメント

大変だ！

[little( (31297)]

>また、以下のtcpdumpコマンドでも感染していないかどうかをチェックできるそうだ。

やってみた。

# tcpdump -nAs 2048 src port 80 | grep "[a-zA-Z]\{5\}\.js'"
bash: tcpdump: command not found

not foundって事は、トロイは見つからなかったって事ですね！





ってのは冗談として、結果がどうなったらダメで、どうだったら安心なの？

Re:大変だ！

[Anonymous Coward]

みた。

# tcpdump -i **** -nAs 2048 src port 80 | grep "[a-zA-Z]\{5\}\.js'"
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ****, link-type LINUX_SLL (Linux cooked), capture size 2048 bytes
…(暫くして)
document.writeln("<SCRIPT TYPE='text/javascript' SRC='http://uac.advertising.com/wrapper/aceUAC.js'></SCRIPT>");

って、ビンゴ?

Re:大変だ！

[Anonymous Coward]

> ビンゴ?

「返事を書く」ってリンクをクリックしたら、うちでも再現しました。

Re:

[Anonymous Coward]

「パケットが飛んでたらダメ(改ざん済み)」で
「パケットが飛んでなかったら安心」ってことでしょう。

上でも言及されてますが、まずは(ルートキットが更新されていない限り)
  mkdir 1 をした方が手っ取り早そうです。

Re:

[Anonymous Coward]

「ないことを証明する」というのは「悪魔の証明」と言って論理的に無理で(ry

Re:

[Anonymous Coward]

ネタにマジレスですが、この場合は、特定のマルウェアを探すことが目的ですし、探すドメインが限られているので、「悪魔の証明」にはならないと思います。