Posts for: #Tech

又见后门

#Tech 

前些天一位朋友的 Linux 主机上说有个莫名其妙的 inetd 进程，开了 21000 端口，让我看看。 简单检查了一下，发现是个用 perl 脚本写的后门，叫 Telnet-like Standard Daemon，但实际上是这个骇客不留神把后门给搁临时目录下，才知道是它。

它的麻烦在于两个地方：

1、“$0”被设置为一个虚假的名称：

my $PROC = “inetd”; # name of the process $0=$PROC."＼0";

因此在进程中看到进程名是 inetd

2、因为是 perl 脚本后门，在 proc 里面看到的是 perl 的信息。

因此，虽然我们很容易通过 netstat、lsof 看出这个 inetd 和 21000 是后门，但却找不到后门究竟搁在哪个地方，试过用 strace 也无法找出路径。

目前只能用土办法 find / -type f -print |xargs grep -i ‘Password Errata!’ 来查找文件。可如果骇客用了简单的 lkm，隐藏端口和文件怎么办？

有没有应用层的解决方法？哪位对 perl 比较熟的朋友帮帮忙教我一把吧 :)

简单技术型风险评估操作培训

#Tech 

要让几个技术人员懂风险评估，所以用 Freemind 整理了一下思路，并不想讲得太复杂，通常风险评估的理论什么的一纠缠，很容易让一些踏实做事的技术人员一个头两个大，因此就讲最简单的操作流程。最后讲如何分析结果和写报告。以案例来讲，不空洞。

计划在讲完之后，拿一个小网络让他们做个实际演练，我来“改考卷”，这样应该能快速让他们取得“评估经验”，减少对评估的神秘感。

简单技术型风险评估操作培训

XCON 2005 的记忆片断

#Tech 

XCON 2005 落幕了，来自五湖四海的好友聚集笑闹然后散去，弟兄们多数一身疲惫但精神亢奋。四年来，焦点峰会这个有趣 Hacker Party，越来越成为信息安全圈内一件好玩的事儿。 这几天没有时间静静地坐下来写些文字，直到离开北京，坐在家中，回想起那三天中看到听到的一些故事，挺有意思，姑且记下几个片断。

1、以书会友

马来西亚 IEEE 的 Cawan 的一位朋友出国，带着的书中有一本 XFOCUS Team 编辑出版的《网络渗透技术》，前言中有段话“从安全界顶级的杂志和会议看来，中国整体的系统与网络安全技术在世界上并不出色……希望以后在 Phrack，Blackhat 和 Defcon 上看到越来越多中国籍专家的身影。”恰好 Cawan 看到这本书，看到这段话，很是认同，便往 Phrack 上投了一篇《Hacking with Embedded Systems》。入选后他很开心的开到，《网络渗透技术》的作者之一 San 也有一篇文章《Hacking Windows CE (pocketpcs & others)》在 Phrack 63 上。于是又到 XFOCUS 论坛找到 San ……

XCON 上，Cawan 带来的议题和信号截获的展示相当精彩。XCON 后，Cawan 给了 XFOCUS Team 一份珍贵的礼物，多谢了！

2、重要的是跟谁一起散步

第一天的忙碌过后，晚上 9 点来钟，哥几个在房间里谈着，觉得有些闷，wollf 就扯着大伙儿出去晒月亮。 一路漫步，一路闲谈。 有人说人生得一知已很难，在 XFOCUS 这个从网络聚起来的小团队中，大家兴趣比较一致，也都比较有思想，在一起的时候，嘻笑怒骂，都有种很对路的感觉，反正就是开心。 小烟小酒弟兄们小有情调地小聚，聊天时，提到了前些时候在邮件列表里讨论到的“捐助失学儿童”的事，峰会后打算就办起来，这样，或许隔个一两年，我们还能借看孩子的机会聚一聚。

在记者招待会上，我说：XFOCUS 这些年来，每个时期都有每个时期的英雄。 六年来，XFOCUS 的道路并不是一帆风顺的，也没有哪个人一直站在聚光灯下。实际上，就象 Adhoc 结构，或者象 p2p 网络那样，XFOCUS 没有核心，任何一个点都有可能成为核心……贡献大的，就能从中获取更多快乐。

3、道德底线与富不过三代

会场外，几个兄弟和来自微软的 Tony 聊着。提到了微软 MSN Search 与 3721 的合作，提到了 3721 的“成功”…… 有些观点：

[阅读全文]