The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Выявлено вредоносное ПО Mayhem, поражающее серверы под управ..., opennews (??), 20-Июл-14, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


70. "Выявлено вредоносное ПО Mayhem, поражающее серверы под..."  +/
Сообщение от arisu (ok), 21-Июл-14, 11:05 
>> LD_PRELOAD. от юзера. на рутовую софтину. из рабочего каталога юзера.
> А какая разница какая софтина и каталог?

как видишь по сплоету — большая.

> уж тебе можно процесс запускать (и ты можешь ему впарить окружение),
> или уж нельзя (тогда впаривание окружения не состоится за отсутствием процесса).

прикинь, а процесс таки проходит стадию динамического связывания. и эта стадия делается отдельной юзермодной софтиной. которая и обрабатывает LD_PRELOAD. и которую — внезапно! — можно пропатчить на предмет дополнительных проверок. вот такой вот сюрприз.

Ответить | Правка | Наверх | Cообщить модератору

96. "Выявлено вредоносное ПО Mayhem, поражающее серверы под..."  +/
Сообщение от Аноним (-), 04-Авг-14, 00:40 
> как видишь по сплоету — большая.

Да хрен там. Спроси у гугли про azazel например. Милая такая вещичка, на гитхабе лежит. И врядли ты порадуешься если такую поюзают против тебя. Добра под LD_PRELOAD есть достаточно много и пути там не сильно роялят. Разве что если путь смонтирован с noexec, или типа того - там может и роялит, вот это не помню.

> — можно пропатчить на предмет дополнительных проверок.

Блин, спасибо капитан. И как это я сам не догадался?!

> вот такой вот сюрприз.

Вон там орлы с хабрашвабры фундаментальнее поступили - в ядерном модуле перехватили execve и выпиливают там LD_PRELOAD из окружения, если он был :).

Ответить | Правка | Наверх | Cообщить модератору

99. "Выявлено вредоносное ПО Mayhem, поражающее серверы под..."  +/
Сообщение от arisu (ok), 04-Авг-14, 12:36 
> Вон там орлы с хабрашвабры фундаментальнее поступили - в ядерном модуле перехватили
> execve и выпиливают там LD_PRELOAD из окружения, если он был :).

я ни секунды не сомневался, что хабра — сборище дегенератов.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру