👨‍👩‍👧‍👧 🐀 ♊️ हम दैनिक स्क्रिप्ट में एक रूटकिट शिकारी हैश चेक जोड़ते हैं ⏳ 😤 🧜🏻

इस सब के कारण, यह पता चला है कि प्रशिक्षण लैपटॉप, पहले आधा खाली हो गया था, अब मुख्य काम करने वाली मशीन बन गया है और यह किसी भी तरह से अधिक सोच-समझकर इसे संरक्षित करने के लायक है। सामान्य तौर पर, अधिकारियों द्वारा स्पष्ट रूप से संकेत दिया जाता है। लैपटॉप पर अब उबंटू 20.04 बीटा है।

यह सभी स्पष्ट BIOS सेटिंग्स और पूर्ण डिस्क एन्क्रिप्शन के साथ शुरू हुआ, जिसके बारे में मुझे शायद लिखना नहीं चाहिए। लेकिन तब मैंने यह समझने का फैसला किया कि फाइल के स्तर पर रुखंटर उपयोगिता ("रूटकिट, बैकडोर, स्निफर और शोफ स्कैनर") क्या कर सकती है ।

मुझे उस सॉफ़्टवेयर से कोई बड़ी उम्मीद नहीं थी जो कुछ वर्षों से अपडेट नहीं किया गया था। मुझे तुरंत कहना होगा कि मुझे रूटकिट्स की खोज के लिए फरवरी 2018 के हस्ताक्षरों के उपयोग पर बहुत संदेह है, लेकिन ऑपरेशन के अन्य तरीकों में से एक - फ़ाइल हैश की जाँच करना, मुझे दिलचस्पी थी। ऐसे अनुभव में कौन दिलचस्पी रखता है और अब तक क्या हुआ है - बिल्ली का स्वागत है।

विचार सरल है - लेकिन चलो सुबह की उपयोगी चीजों की स्क्रिप्ट में एक चेक जोड़कर देखते हैं कि क्या एमडी 5 में उन फाइलों के टुकड़े हैं जिनके लिए उन्हें बदलना नहीं चाहिए। कम से कम जब तक पैकेज अपडेट नहीं होना चाहिए। इस तरह के एक बहुत प्रकाश, लेकिन बेकार नहीं, मेरी राय में, श्वेतप्रदर। उपयोगिता के हैश की गणना और जांच करने में सक्षम वर्तमान संस्करण केवल पैकेज मैनेजर द्वारा निर्धारित किया गया है:

apt search rkhunter
rkhunter/focal,focal,now 1.4.6-8 all [installed]
  rootkit, backdoor, sniffer and exploit scanner

मुख्य शिकारी विन्यास /etc/rkhunter.conf में है और सबसे पहले, मेरी समस्या को हल करने के लिए, ये वे पैरामीटर हैं जिन्हें मैंने वहाँ सेट किया है:

ENABLE_TESTS=hashes

क्योंकि, हैश के अलावा, अभी तक मुझे कुछ भी हित नहीं है। अन्य संभावित परीक्षणों की सूची कमांड द्वारा प्राप्त की जा सकती है।

sudo rkhunter --list test

मैं अभी भी MD5-ok टक्कर को गणित से संबंधित मानता हूं, लेकिन अभ्यास के लिए नहीं। मैं इस राय पर जोर नहीं देता, लेकिन लगभग हर दिन मैं अच्छे मैलवेयर को देखता हूं और अब तक जंगल में इस तरह के संघर्ष का सामना नहीं करना पड़ा है। तो अब के लिए विन्यास में मेरे लिए पर्याप्त है।

HASH_CMD=MD5

फिर उन्होंने अपने पैकेज मैनेजर को संकेत दिया और सबसे महत्वपूर्ण बात यह है कि निर्देशिका, फ़ाइल ने मुझे दिलचस्पी दिखाई। पथ होगा, उदाहरण के लिए, / बिन और / usr / बिन। निर्देशिकाओं में दिखाई देने वाली फ़ाइलों के बारे में, लेकिन जो गणना के समय वहां नहीं थीं, शिकारी भी चेतावनी देंगे।

PKGMGR=DPKG
USER_FILEPROP_FILES_DIRS=/bin/*
USER_FILEPROP_FILES_DIRS=/usr/bin/*

यहां एक महत्वपूर्ण बिंदु है: मेरी सेटिंग्स के साथ, स्कैनिंग पैकेजों पर आधारित नहीं है, बल्कि निर्देशिकाओं पर आधारित है। शायद, यह अधिक सही है, क्योंकि पैकेज में बहुत अधिक गैर-निष्पादन योग्य फाइलें हैं और उन्हें पहले फ़ाइल के माध्यम से फ़िल्टर किया जाना चाहिए। अब तक, मैंने निर्देशिका और अपवादों की सूची को बढ़ाने का रास्ता चुना है।

हमने अब तक स्कैनर कॉन्फ़िगरेशन समाप्त कर दिया है, अब नई सेटिंग्स के साथ /var/lib/rkhunter/db/rkhunter.dat में सही हैश के आधार को अपडेट करने का समय आ गया है। ऐसा करने के लिए, आपको एक कमांड की आवश्यकता है (यह डेटाबेस में जोड़ने के लिए पैकेजों के नाम भी लेता है, यदि आप दूसरे तरीके से जाते हैं)।

sudo rkhunter --propupd

उसके बाद, आपकी और उनकी हैश की सभी फाइलें rkhunter.dat में दिखाई देनी चाहिए। मेरे मामले में, ये 2847 फाइलें हैं, और इंडेक्सर ने 9m 2,117s लिया। यह थोड़ा बहुत है, जैसे, तीन हजार MD5s के लिए, 0.003s के लिए md5sum / bin / ls पर विचार करना, लेकिन वास्तव में है।

यही है, हम एक चेक चलाने के लिए तैयार हैं अभी तक मुकाबला नहीं हुआ है, यह संभावना नहीं है कि कुछ मैलवेयर पहले से ही हैश को बदलने में कामयाब रहे हैं।

sudo rkhunter -c

यहाँ एक बहुत ही उपयोगी कुंजी है - rwo (केवल रिपोर्ट चेतावनी), जो सभी सफल तुलनाओं को छोड़ देगा और केवल चेतावनी देगा। आपको /var/log/rkhunter.log में कार्य के परिणाम देखने की आवश्यकता है। चेक की गति के रूप में, मेरे लगभग तीन हजार बायनेरिज़ के लिए यह 10m 27,489s था, जो अनुक्रमण समय के बराबर था।

हमने सत्यापन को हल कर दिया है, लेकिन पैकेज को अपडेट करते समय यह सवाल फिर से बना रहता है। उन। हमने उपयुक्त अद्यतन किया है और अब सभी अद्यतित फ़ाइलों को मैलवेयर नहीं मानते हैं। स्कैनिंग के कार्यों के लिए स्कैनर में एक और विन्यास / आदि / डिफ़ॉल्ट / rkhunter होता है। इसमें हम पैरामीटर सेट करेंगे।

APT_AUTOGEN="yes"

और /etc/apt/apt.conf.d/90rkhunter में एक स्क्रिप्ट होती है, जो पोस्ट-रिफ़्लेक्स के लिए ज़िम्मेदार होती है:


 // Makes sure that rkhunter file properties database is updated after each remove or install only APT_AUTOGEN is enabled
 DPkg::Post-Invoke { "if [ -x /usr/bin/rkhunter ] && grep -qiE '^APT_AUTOGEN=.?(true|yes)' /etc/default/rkhunter; then /usr/share/rkhunter/scripts/rkhupd.sh; fi"; };

दरअसल, हर कोई, किसी भी परिवर्धन को स्वीकार करने में प्रसन्न होता है। आशा है कि यह मददगार था।

हम दैनिक स्क्रिप्ट में एक रूटकिट शिकारी हैश चेक जोड़ते हैं

More articles: