初めてroot accessした再、（半信半疑だった＾＾；） 何気なくfinger..あれ？ rootが二人．．一人は俺、もう一人は ．．当然（汗）．．やばい！ 足跡消さねば．．ここは慌てず wormhole氏のページにいって足跡の消しかたを読むとするか．．（笑） それからしばらく．．．．ふう．．作業完了．．．logout.. ．．めでたし めでたし．．．なわけはなく、次の日にはさっそく入れなく なっていましたとさ．．教訓：付け焼き刃では駄目．．らしい その直後訳したＤＯＣです。wormhole氏が参考にした物と同じだと 思います。 −−−−−−−−−−−−−−−−−−−−−−−−−−−−−− あほの研究資料Ｎｏ．２５４（嘘） How to cover your tracks -足跡の隠しかた- Author: van Hauser ＊このＤＯＣはHow to cover your tracksの完訳では ありません。重要（と思われる）場所だけ抜いて機械翻訳 に多少の手を加えた程度のものです。当たり前ですが読み にくいです。 セオリーと背景編から抜粋 ４．ログ ３つの重要なログファイルがあります： WTMP − すべてのLog on/offとログイン／アウトタイム、ttyと ホスト UTMP − 現在ログインしている人（finger情報はこのファイルを参照） LASTLOG − どこからログインしてきたか 他にもファイルは存在しますがそれは上級セクションで論じられるであろう すべてtelnet によってのログイン、 ftp、rloginそして若干のシステム rsh の上がこれらのログに書き込まれます。それらのログファイルからあなたの 記録を削除することは非常に重要である。なぜなら a) 貴方がハックした正確な時間 b) あなたがどこのサイトからきたか c) どの位の時間繋いでいたか、そして影響（ハッキングの）を推測 する事ができるからである。 絶対にログを消してはいけない！？ ログを消すとハッカーが浸入したとアドミンに簡単に知られてしまいます。 良いプログラムでログを修正するようにさせてください。 ZAP（あるいは ZAP2 ）がしばしば最良と言われていますが実際はそうでは ありません。それらはすべてはユーザーの最後のログインデータを０で 上書きしてしまいます。 CERT はすでにそれらを調べる単純なプログラムを発表しました。よって ログを消す事はadminは誰がルートアクセスしたかすぐに知り、貴方が仕組 んだ全て仕事が無駄になるでしょう。もう一つの重要なポイントは ZAPはログファイルを発見することができなかった場合それを知らせてくれま せん。コンパイルの前にパスを必ずチェックしてください。 あとは（ CLOAK2 のような）データを変えるプログラムあるいは (CLEARのような）項目をデリートするものを手に入れなさい。 通常あなたはログを修正するためにルートにならなければ ならないに違いありません。 けれどももしあなたがルートを ハックできなかったらでどうでしょう？ 多くの事は出来ないに違い ありません。貴方がいるコンピューターにrloginしてあやしくない LASTLOG データを所有者が次にログオンする時、表示されるデータに 加えてください。 それでもし所有者が「 localhost 」を見るなら怪しまれないでしょう。 具体例:target_hostにログインした後 rlogin target_host どこログファイルはディフォルトで置かれているか？ UTMP : /etc or /var/adm or /usr/adm or /usr/var/adm or /var/log WTMP : /etc or /var/adm or /usr/adm or /usr/var/adm or /var/log LASTLOG : /usr/var/adm or /usr/adm or /var/adm or /var/log いくつかの古いＵＮＩＸではlastlogデータ は$HOME/.lastlogに書かれている。 ５．ほんのわずかを残さないでください 私はログから自身の痕跡をを削除した多くのハッカーに出会い ました。 けれども彼らはマシーン上の別の物を消すのを忘れて いました。/tmp と$HOMEのファイルです。 Shell History いくつかのシェルがタイプされたすべてのコマンドを ヒストリーファイルに残します。（環境やコンフィギュレーション よって異なります。これはハッカーにとって非常に良くありません 最良の選択はログインして、すべてのヒストリーファイルの時間を チェックした後であなたの最初のコマンドとして新しい シェルを始動させる。 sh: .sh_history csh: .history ksh: .sh_history bash:.bash_history zsh: .history Backup Files : dead.letter, *.bak, *~ あなたが去る前に、ls -altr をしなさい。 あなたがログアウトする時、 トレースされる事なく .history を削除するであろう４つの csh コマンドがあります。 mv .logout save.1 echo rm .history>.logout echo rm .logout>>.logout echo mv save.1 .logout>>.logout Appendex:使えるプログラム Change: Changes fields of the logfile to anything you want Delete: Deletes, cuts out the entries you want Edit: real Editor for the logfile Overwrite: just Overwrites the entries with zero-value bytes. Don't use such software (f.e. zap) - it can be detected! LOG MODIFIER ah-1_0b.tar: Changes the entries of accounting information clear.c: Deletes entries in utmp, wtmp, lastlog and wtmpx cloak2.c: Changes the entries in utmp, wtmp and lastlog invisible.c: Overwrites utmp, wtmp and lastlog with predefines values, so it's better than zap. Watch out, there are numerous inv*.c ! marryv11.c: Edit utmp, wtmp, lastlog and accounting data - best! wzap.c: Deletes entries in wtmp wtmped.c: Deletes entries in wtmp zap.c: Overwrites utmp, wtmp, lastlog - Don't use! Can be detected! −−−−−−−−−−end of Theory and Background ---- 練習編に続く．．