بررسی وضعیت سیستم و شناسایی نفوذ سطح root

مقدمه

این مقاله به مدیران سیستم و ارائه‌دهندگان هاست کمک می‌کند تا وضعیت امنیتی سرور خود را بررسی کنند و تشخیص دهند که آیا سیستمشان دچار نفوذ سطح روت (root-level compromise) شده است یا خیر.

روت‌کیت‌ها (Rootkits)

روت‌کیت‌ها ابزارهایی هستند که به هکرها امکان دسترسی پنهانی و مدیریتی به سرور را می‌دهند. به طور کلی هر روت‌کیت دو هدف اصلی دارد:

1. مخفی کردن حضور مهاجم
2. فراهم کردن دسترسی به مهاجم

تشخیص روت‌کیت‌ها سخت اما غیرممکن نیست. برخی روت‌کیت‌ها مانند Ebury، NCOM، Shellbot و XorDDoS بر کتابخانه‌های سیستم تأثیر می‌گذارند. این کتابخانه‌ها در سطح سیستم‌عامل اجرا می‌شوند و معمولاً باید با استفاده از دستورات yum یا rpm نصب شوند.

توجه: این دستورات روی سیستم‌های Ubuntu کار نمی‌کنند.

بررسی کتابخانه‌های سیستم

اگر یک فایل کتابخانه مالک هیچ بسته‌ای نباشد، ممکن است نشانه‌ای از نفوذ سطح روت باشد. برای بررسی اینکه یک کتابخانه توسط بسته نصب شده است، از دستور زیر استفاده کنید:

rpm -qf /path/to/libraryfile

مثال:

rpm -qf /lib64/libpw5.so

خروجی باید نشان دهد که کتابخانه متعلق به یک بسته است.

بررسی سایز و کلید بسته‌ها

اگر کتابخانه متعلق به بسته بود، باید مقادیر Size و Key ID آن بسته را با همان بسته روی یک سرور سالم مقایسه کنید. تفاوت در این مقادیر می‌تواند نشانه‌ای از نفوذ باشد:

rpm -qil <package-name> | egrep 'Size|Key ID'

توجه: حتماً بسته‌ها را روی همان سیستم‌عامل مقایسه کنید و نمی‌توانید بسته‌های CentOS و CloudLinux را با هم مقایسه کنید.

بررسی سایز فایل کتابخانه

روی سرورهای سالم، فایل کتابخانه یا وجود ندارد یا اندازه آن کمتر از ۲۵ کیلوبایت است. در سرورهای آلوده به روت‌کیت، اندازه فایل معمولاً بیشتر از ۲۵ کیلوبایت است:

ls -lh /path/to/libraryfile

بررسی زمان تغییر فایل

با استفاده از دستور stat می‌توانید تاریخ نصب روت‌کیت را حدس بزنید:

stat /lib64/libpw5.so

خط Change نشان‌دهنده آخرین تغییر در فایل است.

بررسی هش فایل در VirusTotal

برای اطمینان از آلوده بودن فایل، هش SHA256 آن را در وب‌سایت VirusTotal بررسی کنید:

sha256sum /lib64/libpw5.so

مقدار خروجی هش را در این آدرس وارد کنید:

www.virustotal.com/en/file/<sha256-value>/analysis/

وب‌سایت لیستی از آنتی‌ویروس‌هایی که فایل را آلوده تشخیص داده‌اند، نمایش می‌دهد.

توجه: VirusTotal همه فایل‌های آلوده را ندارد، اما اگر هش شما در آن سایت با فایل‌های شناخته شده مطابقت داشته باشد، احتمال نفوذ سطح روت بسیار بالاست.

اجرای اسکریپت CSI

cPanel Security Investigator (CSI) یک اسکریپت کاربردی است که برای بررسی نفوذهای سطح root و کاربری طراحی شده است. برای انجام اسکن سطح روت، دستور زیر را اجرا کنید:

/usr/local/cpanel/3rdparty/bin/perl <(curl -s https://raw.githubusercontent.com/cPanelTechs/CSI/master/csi.pl)

این اسکریپت به شما امکان می‌دهد تا سیستم را به صورت کامل بررسی و آسیب‌پذیری‌ها و نفوذهای احتمالی را شناسایی کنید.

کیان پور