Chkrootkit のインストールと使用のチュートリアル - Linux バックドア侵入検知ツール

Chkootkit は Linux バックドア侵入検出ツールで、ootkit バックドアを検出するために使用できます。Ootkit は侵入者が他人のコンピューターに侵入して制御するためによく使用されるため、非常に危険です。しかし、Chkootkitツールはootkitプログラムを非常にうまく検出できます。この記事では主にChkootkit のインストールと使用方法のチュートリアル。

Chkootkit をインストールするには、手動でコンパイルする必要があり、システムに gcc コンパイル パッケージをインストールする必要があります。具体的な操作は以下のとおりです。

1. Chkootkit インストールチュートリアル

gccコンパイル環境を準備する

CentOS システムの場合は、次の 3 つのコマンドを実行します。

yum -y gccをインストールします

yum -y gcc-c++ をインストールします

yum -y インストール mke

Debin システムの場合は、次の 2 つのコマンドを実行します。

pt-get -y installll gcc

pt-get -y インストール mke

2. Chkootkitのソースコードをダウンロードします（安全上の理由から、公式ウェブサイトからダウンロードすることをお勧めします）

[oot@www ~]# wget ftp://ftp.pngei.com.b/pub/seg/pc/chkootkit.t.gz

3. インストールパッケージを解凍する

[oot@www ~]# t zxf chkootkit.t.gz

4. コンパイルしてインストールします（* を特定の文字に置き換えることに注意してください）

[oot@www ~]# cd chkootkit-*

[oot@www ~]# 意味がある

5. コンパイルしたファイルを/us/locl/ディレクトリに配置し、残りのファイルを削除します。

[oot@www ~]# cd ..

[oot@www ~]# cp - chkootkit-* /us/locl/chkootkit

[oot@www ~]# m - chkootkit-*

6. この時点で、Chkootkit は正常にインストールされます。

2. Chkootkit の使い方チュートリアル

正常にインストールされたChkootkitは/us/locl/chkootkit/chkootkitにあります。

次のコマンドを実行します:

oot@m:~# /us/locl/chkootkit/chkootkit

2. ルートキット検出結果を表示できます。

安全のヒント: Chkootkit のチェックプロセスではいくつかのシステムコマンドが使用されるためです。したがって、サーバーがハッキングされた場合、サーバーが依存するシステム コマンドも侵入者によって改ざんされている可能性があり、Chkootkit の結果は完全に信頼できなくなり、システム ls などのファイルを表示するための基本的なコマンドさえも信頼できなくなります。

Chkootkit のこの問題を回避するには、サーバーを公開する前に、Chkootkit が使用するシステム コマンドをバックアップします。必要に応じて、バックアップした元のシステム コマンドを使用して、Chkootkit が ootkit を検出できるようにします。このプロセスは、次の操作を通じて実現できます。

[oot@see ~]# mkdi /us/she/.commnds

[oot@see ~]# cp `which Rskip-lis wk cut echo find egep id hed ls netstt ps stings sed unme` /us/she/.commnds

[oot@see ~]# /us/locl/chkootkit/chkootkit -p /us/she/.commnds/

[oot@see she]# cd /us/she/

[oot@see she]# t zcf commnds.t.gz .commnds

[oot@see she]# m -f commnds.t.gz

上記の操作により、/us/she/ に隠しファイル .commnds が作成され、Chkootkit によって使用されるシステム コマンドがこのディレクトリにバックアップされます。セキュリティ上の理由から、.commnds ディレクトリを圧縮し、安全な場所にダウンロードしてバックアップすることができます。将来サーバーがハッキングされた場合は、このバックアップをサーバー上の任意のパスにアップロードし、Chkootkit コマンドの "-p" パラメータを使用してこのパスを指定して検出することができます。