「君、し、死ぬの？」記事へのコメント

たぶんみんな気になってるんだとおもう

[cat (2264)]

sayupornさん
ほかのひとに迷惑かかってないよね？
今もちゃんとそのサーバ動いてるのよね？

# ごめんなさい、すごく聞きたかったんです

--
φωφ)/

Re:

[sayuporn (33927)]

みんなrootkitに対してびびり過ぎなんだと思います。
rootkitだって、それがどういう種類で、どういう動作をし、
どういうことをしてどういうことをしないかを知っていれば、
闇雲に再インストールする必要は無いと思います。
いや闇雲に再インストールしたほうが楽なんですが。

再インストールがベストなのは疑う余地もありません。
だけどそれは風邪をひいただけなのに大学病院で1ヶ月検査入院みたいな大げさ感があります。

今回は遠隔地からの操作だったので、パスワードを設定してもらった後、
ルータで他のネットワークからは隔離し、パスワードが度々変更されるので、
cronで定期

Re:

[Ryo.F (3896)]

もちろん素晴らしいrootkitで、外部からもってきたrsyncのバイナリを書き換え、MD5の値もごまかし、全部のファイルを置き換えたと見せつつ置き換えてないかもしれません。が、私は残念なことにそんな素晴らしいrootkitは見たことありません。

システムコールを置き換えれば、/usr/bin/rsyncを書き換えなくてもいいです。この場合、普通にシステムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができます。システムコールを呼び出したプロセスをみて、/usr/bin/{md5sum,sha1sum}なら正常なバイナリを渡してチェックをすり抜ける、なんてことはそう難しくあ

Re:

[sayuporn (33927)]

何言ってるか全然わかんないんですけど。

Re:

[Ryo.F (3896)]

何言ってるか全然わかんないんですけど。

だとすれば、rootkitのことを理解していない、と言うことです。
乗りかかった船ですから、解らないことがあれば教えます。何が解らないんですか？専門用語ですか？

しかし、再インストールできなかった理由は、「全然わかんない」わけないですよね。教えてもらえますか？

Re:

[sayuporn (33927)]

>> システムコールを置き換えれば、/usr/bin/rsyncを書き換えなくてもいいです。
>> この場合、普通にシステムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができます。

では、その実例を教えてください。「私が思いつくから世の中には存在するであろう」というのはなんの根拠にもなりません。

>> チェック・駆除するなら、感染したOSからではダメです。

なぜだめなのですか？

rootkitのいちばんの目的は、自分がそのOS環境に潜んでいることを悟られないことです。
rootkitが入っていると管理者が知っているなら、それはウィルス程度のプログラムだと思うのですが。

再インストールできなかったわけはHDDの容量が3TBあり、そのバックアップとリストアに48時間かかるためです。

Re:

[Ryo.F (3896)]

では、その実例を教えてください。

そんなの [atmarkit.co.jp]数秒で探せますよ。
なんで自分で探そうとしないのでしょう？
＃こっちの解説 [atmarkit.co.jp]から読むべきかも知れない。

なぜだめなのですか？

上で紹介した記事を読めば自ずと解ると思いますが、調査に使われるシステムコールが汚染されいて、なおかつ、それを検出できない可能性があるからです。
感染したOS上で、システムコールを使わずに、直接ハードウェアを制御して検出することも理論上可能ですが、CDブートのOSを使った方がはるかに確実かつ簡単です。
これが解っていない、ということは、rootkitとは何かが解っていない(あるいは、その理解が古い)と言うことです。

r

Re:

[sayuporn (33927)]

いいえ、システムコールを置き換え/usr/bin/rsyncを書き換えなくても、
システムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができるrootkitを教えてください。
別にKLMでシステムコールをフックするrootkitどうこうが知りたいわけではありません。

それにWikipediaや@ITをポインタする人がいますが、私がなんでそのページを見たことがないと思うんでしょうか。

rootkitとて万能ではありません。想定する管理者の行動から自分を隠蔽するだけです。
rsyncが/usr/bin/rsyncに無かったら？rsyncの名前がrsyncでなかったら？rsyncのフィンガープリントが違ってたら？
rootkitはどうやって自分を隠蔽するのでしょうか？

あのー、日記にルータでパケットが流れないようにしたって書いてありますし、
なんでサービスインは二週間以上先だったって決めつけるんですか？

Ryo.Fさんは自分のPCがウィルスにかかったらどう対処しますか？

Re:

[Ryo.F (3896)]

いいえ、システムコールを置き換え＜＜略＞＞＞できるrootkitを教えてください。

システムコールを置き換えるものを紹介すればいいんですよね？であれば、前に紹介した@ITの記事 [atmarkit.co.jp]に実例が出てくるのですが、読みましたよね？

別にKLMでシステムコールをフックするrootkitどうこうが知りたいわけではありません。

LKMです。LKM rootkitでも構いませんよね？特に除外する理由もありませんよね？
ちなみに、私は「システムコールを置き(書き)換える」を「システムコールをフックする」と同義で使っています。このくらい言わなくても解ってますよね？

私がなんでそのページを見たことがないと思うんでしょうか。

きっと試されたんですよ。

Re:

[sayuporn (33927)]

いいえ。システムコールを置き換えるものではなく、
システムコール経由でファイルにアクセスするすべてのプログラムを騙す事ができるrootkitです。
システムコールを置き換えること＝すべてのプログラムを騙す事ができるではありませんから。

おっと、KLMとLKMを打ち間違えてしまいました。

>>きっと試されたんですよ
ええ、別に気にしてません。逆に光栄なくらいです。

>>でも、リモートからは作業できたんですよね？どう「隔離」したんです？別セグメントに分けただけではないんですよね？
私のクライアントとだけ通信するようにしただけ

Re:たぶんみんな気になってるんだとおもう

[Anonymous Coward]

> Ryo.Fさんは自分のPCがウィルスにかかったらどう対処しますか？
Ryo.Fじゃないけど。

まずはLAN線を抜く。これは絶対前提。

５年ほど前だけど、社内で確かCodeRedだったかの騒ぎがあったときは
全員速やかにLAN線を抜け～って発令があったよ。

んで、「事前に」ウィルスチェックソフトが導入されている端末においては
念のため手動で全検索を掛けて、発見されなかった端末から再接続可、としてた。

未導入端末（基本的には使用前に導入するモジュールが提供されてインストールする
ことになってたから入ってない端末は特殊事情のかなり稀な端末になったはずだけど）
はディスクはずして別の端末につないで全件検索、だったかな。

実際の進入経路は社員が持ち込んだUSBメモリか何かだったと思うけど、
感染元のPCと持ち込んだ社員さんがどうなったかは100人以上いる会社で
他部署だったからよく分からないけど。

っていうかさ。何とか「再インストールまではしない」って答えを引き出して
自分の正当性を主張したいんだろうとは思うんだけど、PCにウィルスが感染した
ときとサーバにrootkitが仕込まれた時とを同列に語ろうとしている時点で
サーバ管理者としてのレベルが低いとみなされても仕方ないと思うよ？

これを先に言ってしまったら、そんなつもりじゃないとかで色々文句言って
結局趣旨を離れた泥沼に引き込まれるのが分かっているから誰も答えないんだろうけど、
ほっとくとそれはそれで事あるごとに言ってきそうだから突っ込んでみる。