strucne srovnani nekolika programu pro detekci kernelovych rootkitu

Pokud nektere testovane programy umi odhalit i jine nez kernelove rootkity, nebudu to pri hodnoceni brat v potaz. Srovnavat budu znamy KSTAT, chkrootkit a muj rdetect. Programy jako rkcheck nebo kern_check.c ani uvadet nebudu, protoze jsou specializovane na jednu cinnost a nic vic neumi. rkcheck kontroluje pritomnost rootkitu Adore a Knark a kern_check.c porovnava adresy systemovych volani s adresama v System.map.

test / feature KSTAT v1.1 chkrootkit v0.41 rdetect v0.5
skryte procesy
A
A
A
skryte moduly
A
A
A
skryte adresare
N
A
N
hooknute syscally
A
N
A
integrita sys_call_table
A
N
A
integrita int 0x80
A
N
A
integrita handleru v IDT
N
N
A
integrita DPL v IDT
N
N
A
integrita IDT registru
N
N
A
hooknute VFS funkce
A
N
N
skryte TCP/UDP spojeni
A
N
N
promiscuit mode
A
A
A
obnova syscallu
A
N
A
obnova sys_call_table
N
N
A
obnova int 0x80
A
N
A
odstraneni skrytych LKM
A
N
A
upozornovani mejlem
N
N
A

Jeste strucne charakterisitky jednotlivych programu. Predem upozornuju, ze to neni pokus o objektivni hodnoceni. Spis naopak..

KSTAT v1.1
nevyhody:

vyhody:
hodnoceni:
Uvedena vyhoda se da brat i jako velka nevyhoda. Pokud program zkompilujete a nechate nainstalovany na masine, muze se vam stat, ze prijde nevypocitatelny hacker, nainstali rootkit a kstat vam prekompiluje :) Co se stane? Systemova volani a vsechny funkce se budou v poradku a po odinstalovani rootkitu bude system vypadat totalne zkompromitovane ;) Takze ta vyhoda v podstate odpada, protoze stejne si kstat po zkompilovani musite zalohovat na CD, disketu nebo proste nekam do bezpeci. Stejne jako u detektoru, ktere si zalohuji adresy do souboru.
Kazdopadne na tomhle programu je videt, ze ho delal clovek, co rozumi svoji praci (ehm.. az na to hledani modulu;). Skoda jen te nutnosti LKM.. Diky tomu ma vsak snadny pristup k adresam ruznych funkci (VFS a pod.), ktere by jinak musel vyhledavat v /dev/kmem.

homepage: www.s0ftpj.org


chkrootkit v0.41
nevyhody:

vyhody:
zhodnoceni:
Nemuzu si pomoct, ale poznavat pritomnost Knarku podle toho, jestli existuje soubor /proc/knark je IMHO dost zoufale reseni... Staci zmenit 1 bajt ve zdrojaku knarku a chkrootkit ho nenajde ;) Podobnym zpusobem detekuje i ostatni rootkity, nekontroluje ani adresy systemovych volani... Pak je tu ta neucina kontrola promiscuit modu a ona ani ta kontrola smazanych logu neni zrovna nejlip udelana. Asi mesic nove nainstalovany system, skoro zarucene nezkompromitovany a hlasi mi asi 40 smazanych zaznamu. Ale je fajn ze mi aspon napise skoro presne v jakem obdobi byly mazane :o))
4 deletion(s) between Thu Jan 1 02:03:34 1970 and Tue Nov 15 12:35:15 2022
Na vterinu presne ;) neco mezi ctvrtkem a listopadem... hmmm.
Tenhle program umi sice najit skryty adresar, to je moc pekne.. ale to je tak asi vsechno. Je dobry tak maximalne na vyvolani falesneho pocitu bezpeci.

homepage: www.chkrootkit.org



trace's rootkit detector (rdetect) v0.5
nevyhody:

vyhody:
hodnoceni:
No.. jak mam hodnotit svuj program? Psal sem ho tak, aby mi vyhovoval. A rikat, ze neumi neco, co by umet mel, je taky blbost, protoze ty veci se tam chystam dodelat.. proste sem to jeste vsechno nestih ;) Navic kdybych chtel pokracovat ve slibne se vyvyjejicim hodnoceni predchozich programu, tak bych musel rdetect (resp. sebe) pekne servat ;) Takze hodnoceni si radeji kazdy udelejte sam. Jinak napady a pripominky jsou vitane.

homepage: www.dump.cz/~trace (snad brzo.. prozatim eva.fit.vutbr.cz/~xhysek02, najdete i na hysteria.sk/~trace)

feedback
trace [trace@hysteria.sk, trace@dump.cz]
ircnet: #dump, #blackhole.sk (_2k_ nebo trace)
anonet: #talk, #dump