HOW TO: systeem scannen op rootkits

[Carl<n-media>]

In deze how to zal ik uitleggen hoe je je systeem kunt scannen op rootkits. Wanneer je niet weet wat een rootkit is, neem dan eens een kijkje op deze web site. Meer informatie over chkrootkit vind je op de web site van de maker.

Log in als root gebruiker:
su -

Typ het volgende om chkrootkit naar je server te downloaden:
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz

Typ het volgende om het bestand uit te pakken:
tar xvzf chkrootkit.tar.gz

Ga naar de directory waar de uitgepakte bestanden zich bevinden:
cd chkrootkit*

Compile het programma door het volgende te typen:
make sense

Start chkrootkit:
./chkrootkit

Alles wat het programma als output geeft dient 'not found' of 'not infected' te zijn.

Ga een map omhoog:
cd ..

En verwijder tot slot het .gz bestand:
rm chkrootkit.tar.gz

Het is aan te raden om je systeem meerdere malen per maand te scannen door gebruik te maken van chkrootkit. Ik hoop dat jullie iets aan deze how to hebben .

[The MAzTER]

Gewoon een cron maken die het elke dag naar je mailt

[Carl<n-media>]

Origineel geplaatst door The MAzTER
Gewoon een cron maken die het elke dag naar je mailt

Kan ook, ik zal het er zo even bij zetten.

[Carl<n-media>]

Op de volgende manier kun je je systeem automatisch elke dag laten scannen door chkrootkit.

Voeg een bestand genaamd chkrootkit toe aan de map /etc/cron.daily/:
vi /etc/cron.daily/chkrootkit

Bewerk het bestand:
pico /etc/cron.daily/chkrootkit

Typ het volgende in het bestand en sla het op:
#!/bin/bash
/volledige-pad-naar-chkrootkit/chkrootkit-versie/./chkrootkit -q | mail -s "Chkrootkit resultaten" naam@domein.tld

Je krijgt dan een e-mail bericht met de rootkits die zijn gevonden.

[Beyonder]

Nette HOWTO

Installeer chkrootkit gelijk op een nieuw systeem, de output van chkrootkit kan namelijk "vals" zijn op het moment dat de machine idd gecompromised is.

Onze werkzaamheden bestaan voornamelijk uit het beveiligen van een server, wat wij onder andere doen in een standaard beveliging kun je hier lezen:

http://tldp.org/HOWTO/Security-HOWTO/ (linux only)

Ik hoop dat jullie hier iets aan hebben

Maar ook hier blijft het niet bij, om echt zo secure mogelijk te zijn moet je dagelijks vele mail lijsten bijhouden die nieuwe info verstrekken over diverse vulnerabilities en zelf over voldoende kennis beschikken.

[superior-is]

Origineel geplaatst door Beyonder

Maar ook hier blijft het niet bij, om echt zo secure mogelijk te zijn moet je dagelijks vele mail lijsten bijhouden die nieuwe info verstrekken over diverse vulnerabilities en zelf over voldoende kennis beschikken.

Ik zou zeggen: laat maar 'ns horen welke maillijsten allemaal interessant zijn. Natuurlijk zal niet alles lukken qua 0-day security leks, maar toch. Mhh, misschien is dat meer iets voor een eigen topic.

[smurf]

zie ook:

http://www.webhostingtalk.nl/showthr...threadid=53184

[Cybafish]

Een kleine toevoeging voor cPanel users: op port 465 draait standaard portsentry, hetgeen door chkrootkit als een bindshell gezien wordt. Nothing to worry about, dat hoort zo

[Stefan Mensink]

Chkrootkit wordt niet erg regelmatig (meer?) geupdate. Een alternatief is het nederlandse rkhunter, te vinden op http://www.rootkit.nl/

Deze checker werkt ongeveer hetzelfde.

[Digiover]

Mag ik je er op wijzen dat je bij STAP 1 al de fout in gaat ?!
chkrootkit is vziw volledig als user te installeren, alleen voor het uitvoeren heb je rootprivileges nodig.
Let op: Doe zo weinig mogelijk als root!

Daarnaast is een dergelijke tutorial natuurlijk wel altijd handig. ./chkrootkit -x is een handige optie, maar pipe dit naar een tekstbestand... ;-)

[Carl<n-media>]

Origineel geplaatst door Digiover
Mag ik je er op wijzen dat je bij STAP 1 al de fout in gaat ?!
chkrootkit is vziw volledig als user te installeren, alleen voor het uitvoeren heb je rootprivileges nodig.
Let op: Doe zo weinig mogelijk als root!

Daarnaast is een dergelijke tutorial natuurlijk wel altijd handig. ./chkrootkit -x is een handige optie, maar pipe dit naar een tekstbestand... ;-)

Zoveel kun je ook niet fout doen, zolang je de stappen hierboven maar goed uitvoert. Dit is in ieder geval een begin voor de beginners .

[Cybafish]

Origineel geplaatst door Digiover
Mag ik je er op wijzen dat je bij STAP 1 al de fout in gaat ?!
chkrootkit is vziw volledig als user te installeren, alleen voor het uitvoeren heb je rootprivileges nodig.
Let op: Doe zo weinig mogelijk als root!

Ik weet niet hoe dit bij jullie is geregeld, maar bij ons hebben normale gebruikers geen toegang to compilers hoor

[Carl<n-media>]

Origineel geplaatst door Cybafish


Ik weet niet hoe dit bij jullie is geregeld, maar bij ons hebben normale gebruikers geen toegang to compilers hoor

Ik denk dat hij bedoelt dat je eerst het bestand als gewone gebruiker download en steeds van gebruiker wisselt wanneer dit nodig is.

[McRox]

Origineel geplaatst door Stefan Mensink
Chkrootkit wordt niet erg regelmatig (meer?) geupdate. Een alternatief is het nederlandse rkhunter, te vinden op http://www.rootkit.nl/

Deze checker werkt ongeveer hetzelfde.

rkhunter is zelfs beter en controleert meer onderdelen.

Installatie:

wget http://downloads.rootkit.nl/rkhunter-1.0.9.tar.gz; tar zxf rkhunter-1.0.9.tar.gz; cd rkhunter*; ./install

Cron:

/usr/local/bin/rkhunter -c --nocolors --cronjob --report-mode --createlogfile --skip-keypress > rklog.txt
grep -v "[OK]" rklog.txt > rk-clean.txt
grep -v "Clean" rk-clean.txt | mail -s "RKHunter check" email@uwdomein.com

Starten:

./rkhunter -c --report-mode --createlogfile --skip-keypress

[Stefan Mensink]

Okee dan McRox. Rootkitjagen voor dummies! Heeft iemand nog tips voor extra tools die routinematige checks kunnen doen op verdachte zaken?