next up previous contents index
Next: Trójai programok Up: Férgek Previous: Az RTM_Worm

  
Az ADMw0rm

Az AMDw0rm féreg 1998-ban íródott, és a a bind  nevű DNS szerver  program inverz lekérdezésének hibáját használja ki a terjedéshez. Linux  kell neki és x86, no meg egy hibás DNS szerver. Az enyém nem jó neki. :-)

Ténykedését azzal kezdi, hogy véletlenszerűen kitalál egy IP címet , majd elkezdi ezt egyesével növelni, közben a háttérben ellenőrzi, hogy válaszol-e ezekről a címekről egy DNS szerver. Ha igen, akkor megnézi, hogy a szerver támadható-e (8.1.2 és 4.9.8 előtti bind). Ha támadható, akkor egy puffer túlcsordítással végrehajtat egy sort, mely létrehoz egy jelszó  nélküli w0rm felhasználót, továbbá csinál egy suid root  shell-t /tmp/.w0rm néven, végül törli a /etc/hosts.deny állományt, így eléri, hogy bárhonnan be lehessen lépni a gépre. Ezután belép, a root shell segítségével újraindítja az összeomlott DNS szervert, letölti FTP-vel a teljes férget, kicsomagolja, elindítja, levelet küld a féreg készítőinek (admsmb@hotmail.com), eltűnteti a betörés nyomait, végül a gépen található index.html  fájlokat átírja egy saját magát dicsőítő üzenetre. Igaz, ez utóbbi általában nem sikerül neki, mert ezt a parancsot már nem mindenható root-ként, hanem mezei féregként adja ki.


next up previous contents index
Next: Trójai programok Up: Férgek Previous: Az RTM_Worm
Nagy Ferenc Laszlo
1999-05-21