「君、し、死ぬの？」記事へのコメント

たぶんみんな気になってるんだとおもう

[cat (2264)]

sayupornさん
ほかのひとに迷惑かかってないよね？
今もちゃんとそのサーバ動いてるのよね？

# ごめんなさい、すごく聞きたかったんです

--
φωφ)/

Re:

[sayuporn (33927)]

みんなrootkitに対してびびり過ぎなんだと思います。
rootkitだって、それがどういう種類で、どういう動作をし、
どういうことをしてどういうことをしないかを知っていれば、
闇雲に再インストールする必要は無いと思います。
いや闇雲に再インストールしたほうが楽なんですが。

再インストールがベストなのは疑う余地もありません。
だけどそれは風邪をひいただけなのに大学病院で1ヶ月検査入院みたいな大げさ感があります。

今回は遠隔地からの操作だったので、パスワードを設定してもらった後、
ルータで他のネットワークからは隔離し、パスワードが度々変更されるので、
cronで定期

Re:

[Ryo.F (3896)]

もちろん素晴らしいrootkitで、外部からもってきたrsyncのバイナリを書き換え、MD5の値もごまかし、全部のファイルを置き換えたと見せつつ置き換えてないかもしれません。が、私は残念なことにそんな素晴らしいrootkitは見たことありません。

システムコールを置き換えれば、/usr/bin/rsyncを書き換えなくてもいいです。この場合、普通にシステムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができます。システムコールを呼び出したプロセスをみて、/usr/bin/{md5sum,sha1sum}なら正常なバイナリを渡してチェックをすり抜ける、なんてことはそう難しくあ

Re:

[sayuporn (33927)]

何言ってるか全然わかんないんですけど。

Re:

[Ryo.F (3896)]

何言ってるか全然わかんないんですけど。

だとすれば、rootkitのことを理解していない、と言うことです。
乗りかかった船ですから、解らないことがあれば教えます。何が解らないんですか？専門用語ですか？

しかし、再インストールできなかった理由は、「全然わかんない」わけないですよね。教えてもらえますか？

Re:

[sayuporn (33927)]

>> システムコールを置き換えれば、/usr/bin/rsyncを書き換えなくてもいいです。
>> この場合、普通にシステムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができます。

では、その実例を教えてください。「私が思いつくから世の中には存在するであろう」というのはなんの根拠にもなりません。

>> チェック・駆除するなら、感染したOSからではダメです。

なぜだめなのですか？

rootkitのいちばんの目的は、自分がそのOS環境に潜んでいることを悟られないことです。
rootkitが入っていると管理者が知っているなら、それはウィルス程度のプログラムだと思うのですが。

再インストールできなかったわけはHDDの容量が3TBあり、そのバックアップとリストアに48時間かかるためです。

Re:

[Ryo.F (3896)]

では、その実例を教えてください。

そんなの [atmarkit.co.jp]数秒で探せますよ。
なんで自分で探そうとしないのでしょう？
＃こっちの解説 [atmarkit.co.jp]から読むべきかも知れない。

なぜだめなのですか？

上で紹介した記事を読めば自ずと解ると思いますが、調査に使われるシステムコールが汚染されいて、なおかつ、それを検出できない可能性があるからです。
感染したOS上で、システムコールを使わずに、直接ハードウェアを制御して検出することも理論上可能ですが、CDブートのOSを使った方がはるかに確実かつ簡単です。
これが解っていない、ということは、rootkitとは何かが解っていない(あるいは、その理解が古い)と言うことです。

r

Re:

[sayuporn (33927)]

いいえ、システムコールを置き換え/usr/bin/rsyncを書き換えなくても、
システムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができるrootkitを教えてください。
別にKLMでシステムコールをフックするrootkitどうこうが知りたいわけではありません。

それにWikipediaや@ITをポインタする人がいますが、私がなんでそのページを見たことがないと思うんでしょうか。

rootkitとて万能ではありません。想定する管理者の行動から自分を隠蔽するだけです。
rsyncが/usr/bin/rsyncに無かったら？rsyncの名前がrsyncでなかったら？rsyncのフィンガープリントが違ってたら？
rootkitはどうやって自分を隠蔽するのでしょうか？

あのー、日記にルータでパケットが流れないようにしたって書いてありますし、
なんでサービスインは二週間以上先だったって決めつけるんですか？

Ryo.Fさんは自分のPCがウィルスにかかったらどう対処しますか？

Re:

[Ryo.F (3896)]

いいえ、システムコールを置き換え＜＜略＞＞＞できるrootkitを教えてください。

システムコールを置き換えるものを紹介すればいいんですよね？であれば、前に紹介した@ITの記事 [atmarkit.co.jp]に実例が出てくるのですが、読みましたよね？

別にKLMでシステムコールをフックするrootkitどうこうが知りたいわけではありません。

LKMです。LKM rootkitでも構いませんよね？特に除外する理由もありませんよね？
ちなみに、私は「システムコールを置き(書き)換える」を「システムコールをフックする」と同義で使っています。このくらい言わなくても解ってますよね？

私がなんでそのページを見たことがないと思うんでしょうか。

きっと試されたんですよ。

Re:

[sayuporn (33927)]

いいえ。システムコールを置き換えるものではなく、
システムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができるrootkitです。
システムコールを置き換えること＝すべてのプログラムを騙す事ができるではありませんから。

おっと、KLMとLKMを打ち間違えてしまいました。

>>きっと試されたんですよ
ええ、別に気にしてません。逆に光栄なくらいです。

>>でも、リモートからは作業できたんですよね？どう「隔離」したんです？別セグメントに分けただけではないんですよね？
私のクライアントとだけ通信するようにしただけ

Re:たぶんみんな気になってるんだとおもう

[Ryo.F (3896)]

いいえ。システムコールを置き換えるものではなく、システムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができるrootkitです。

システムコールを置き換えれ(フックすれ)ば、システムコールを経由するすべてのプログラムを騙せる、と私は書きました。
システムコールを書き換えずにそれが可能、とは書いてませんので、そんなものを私が例示しなくても問題ありません。
今の文脈で、システムコールをフックするrootkitや、LKMを利用するrootkitを除外する理由が無いのなら、意味の無い要求です。何か理由があればそれを書いてください。理由が無ければ、あなたはrootkitのことを解っていない(あるいは、その理解が古い)、と言うことになります。
＃か、議論を発散させようとしてるとか。

ええ、別に気にしてません。逆に光栄なくらいです。

気にしてないなら無視しとけば良いのに、なぜわざわざ書いたんですか？
＃あ、光栄だからどんどん試してね！ってことでしょうか(笑)？

私のクライアントとだけ通信するようにしただけです。

どうやったんですか？
＃普通ならこんなことは聞かないんですが、あなたの知識が不安なので、試させてもらっています。
＃＃光栄に思いなさい(笑)。

作業に2週間かかったことと、サービスインは二週間以上先と勝手に想像することに、何の因果関係があるのでしょうか？

そんなことを聞く前に、サービスインは○○日後でした、と反論すれば良いでしょうに、なぜそう書かないんでしょう？

あなたの非常識は私の非常識ですか？

この場合、違うんですか？
＃普通ならこんな書き方はしないんですが、試させてもらっています。
＃＃光栄に思いなさい(笑)。

方針転換する必要性を感じなかったからです。

そう感じた理由はなんですか？
＃必要性は、感じるものではなく、合理性に基づき判断するものですけどね…