Работа с объектами файловой системы

Необходимо остановиться на способах, применяемых нарушителями с правами root для нейтрализации системы аудита. Для этого могут использоваться нижеследующие операции.

1. Удаление определенных журнальных файлов, в которых протоколируются факты проникновения в систему, повышение прав доступа, создание новых учетных записей и др. Удаление файлов для пользователя, имеющего права на поиск и запись в каталог /var/log, никаких проблем не представляет. Ликвидация бинарных файловwtmp,wtmp, lastlog, faillog приводит к тому, что регистрация соответствующих событий будет прекращена, а удаленные файлы вновь не появятся. Подобное грубое вмешательство заведомо привлечет внимание администратора и иных пользователей хотя бы по той причине, что станет невозможно пользоваться некоторыми командами, такими как who, w, last.

2. Завершение работы демона syslogd. После этого дальнейшее пополнение регистрационных записей прекратится. Демаскирующий признак – отсутствие syslogd в списке процессов. Нарушителю имеет смысл завершать этот процесс до выполнения деструктивных действий, хотя само проникновение в систему и приобретение администраторских прав будет зафиксировано.

3. Нейтрализация работы демона syslogd с оставлением его в списке процессов может происходить путем его перезапуска с направлением вывода в нулевое устройство /dev/null.

4. Установка и запуск «исправленного» демона syslogd, который не будет протоколировать демаскирующие события.

Программы, используемые злоумышленниками для очистки журналов аудита, получили название log cleaner или log wiper. Они служат для избирательного удаления информации, свидетельствующей о незаконных действиях в системе. Стирание или замена строки, демаскирующей нарушителя, в текстовом log-файле программных затруднений не вызывает (если нарушитель имеет права администратора). Но такие файлы аудита, как utmp, wtmp и lastlog, имеют двоичный вид, и произвести в них удаление или замену записей непросто.

В файловых системах ОС Linux основным логическим объектом является файл. Все объекты, включая устройства ввода/вывода информации и каналы межпроцессного взаимодействия, называются файлами. Определено семь функциональных типов файлов:

· обычные файлы;

· каталоги;

· символические ссылки;

· именованные каналы;

· сокеты;

· файлы символических устройств;

· файлы блочных устройств.

Внутренняя структура обычного файла для операционной системы совершенно безразлична, и файл воспринимается ею как простая последовательность байтов. Для операционной системы Linux не имеют значения расширения имён файлов, по которым можно судить об их типе. Расширение имени файла в ОС UNIX, в том числе и Linux, не предусмотрено по причине того, что символ «.» входит в состав имени файла наравне с другими символами. Точнее, пользователи могут присваивать файлам имена, содержащие точки и символы, напоминающие характерные для ОС семейства Windows расширения, но только для своего удобства.

Таким образом, внутренняя структура файла в ОС Linux целиком зависит от пользовательской программы. Исключение составляют собственно исполняемые файлы формата ELF (Executable and Linking Format), так как они непосредственно исполняются центральным процессором и запускаются при наличии установленного признака исполняемости. Они имеют по нулевому смещению от начала стандартную четырехбайтную сигнатуру, которая называется «магическим числом» файла.

В остальных случаях файл с установленным признаком исполняемости считается текстовым, содержащим строки с командами оболочки. Если первой строкой такого текстового файла является строка вида #!/bin/sh (допускается наличие пробелов после «!»), то первые два символа являются «магической комбинацией», а /bin/sh есть программа, которая будет запущена с передачей ей всех последующих строк файла. Если в первой строке отсутствует вышеописанное, то строки файла последовательно обрабатывает оболочка, обслуживающая данный терминал. Установленный признак исполняемости является необходимым, но не достаточным условием. Любому файлу можно установить сигнатуру исполняемости, но результат его запуска на исполнение будет зависеть от его содержимого.

Одна из утилит ОС Linux, именуемая file, умеет различать довольно много разновидностей файлов по их «магическим числам» и некоторым иным признакам внутреннего формата.

Дата добавления: 2015-03-31