t.ex.

root@kara:~# cd /etc
root@kara:/etc# cat lsb-release
DISTRIB_ID=Ubuntu
DISTRIB_RELEASE=10.04
DISTRIB_CODENAME=lucid
DISTRIB_DESCRIPTION="Ubuntu 10.04.1 LTS"
root@kara:/etc#

Bookmark:

Den NYA adressen är www.bertholdsson.eu (eller bara bertholdsson.eu om du vill skriva lite mindre). Tjoa gärna till om det är något som inte fungerar som det ska

Bookmark:

Ett vanligt sätt är att I footer.php eller functions.php lägga in en kodad sträng, te.x.

<?php $_F=__FILE__;$_X=’Pz4JCTxkNHYgY2wxc….MmR5Pg0KPC9odG1sPg==’;eval(base64_decode(‘JF9…NDU2Jyk7JF9SPWVyZUj0wOyRfWD0wOw==’));?>

(jag har kortat ner den, egentligen är den drygt 9000 tecken lång)

Om man tar den strängen och avkodar den (t.ex. på  http://www.tareeinternet.com/scripts/byterun.php så får man en text som bland annat innehåller

<a href="http://jeuxde-casino.com/" title="jeux de casino">jeux de casino</a> by <a href="http://jeuxde-casino.com/jeux-de-casino" title="jeux de casino"><img src="<?php bloginfo(‘stylesheet_directory’); ?>/images/woothemes.png" alt="jeux de casino" /></a>

Det här var inte så farligt egentligen men det stör mig att det finns kodad information I mina teman som laddas, just det här verkar var ett sätt att få trafik till en sida med reklam som I sin tur genererar pengar. Men det kunde lika gärna ha varit en kodad sträng som laddar ner ondskefull kod till min server.

Jag raderade 30+ teman som till stor del kom från Woo Themes, te.x.

freshfolio-dev, freshnews-dev, gazette-dev, gothamnews-dev, livewire-dev, newspress-dev, openair-dev, premiumnews-dev, overeasy-dev, paalam-11, paper, pdawn-10, photog, pixeled, polaroidpress, proudfolio-dev, page-style, papercut, peaceful-rush, photon, plainscape, premiumnews-dev, pure-12, panorama, papercut-dev, pellucid-dashed, pink-tulip, poetry, primepress, purple-pastels

Om du själv är orolig över dina teman så kan jag rekommendera ett plugin till wordpress som heter TAC (Theme Authenicity Checker) och det finns här http://wordpress.org/extend/plugins/tac

Det pluginet gör är att scanna igenom alla teman efter suspect kod, tänk på att det kan finnas falska postivia träffar, jag såg t.ex. att en del teman hade en base64 funktion I contact.php. Den funktionen användes där för att koda e-postadresser så att adresserna inte fångas upp av spamrobotar.. och det är ju bra.

Nu sover jag lite skönare iallafall, jag tycker att du borde se över dina teman du också, skadar inte och det är gratis

Titta även på den här filmen, den förklarar en del också http://weblogtoolscollection.com/archives/2010/12/10/theme-malware-anatomy/

Bookmark:

Och så här gjorde jag

Jag laddade ner XOT-uzg och packade upp den till ~/.xbmc/scripts/XOT-Uzg.v3

Sedan laddade jag ner uppdateringen för den nya layouten på SVTPlay och lade in den i mappen ~/.xbmc/scripts/XOT-Uzg.v3/channels/tvse

XOT hittar du här http://code.google.com/p/xot-uzg/

Och den svenska uppdateringen hittar du här http://code.google.com/p/xot-uzg/downloads/detail?name=tvse.20091027b.zip

Sedan var det bara att starta scriptet under scripts menyn i min xbmc, smidigt. Just nu tittar jag på Landet brunsås och tycker att det är rätt najs att betala tvlicensen

Bookmark:

Se till att köra programmet under kompabilitetsläge, det verkar hjälpa.

I’m using Windows 7, and I wasn’t able to run FS-driver because the program gave me an error about compatibility. I emailed the author and he told me (within a few hours) that people should run the program in compatibility mode for Windows Vista. Sounds like this would be a good way.

I had already done it another way by the time he’d emailed me. What I did was use ext2-fsd, and seems to have worked fine. The only problem I had was that I got the dreaded BSoD on the first reboot — but only once. Rebooted a few more times with no blue screen.

Confirm ext2-fsd to work somewhat with Win7.

Bookmark:

En vanlig ls –lrth ger följande

shalafi@forsaken:/tmp$ ls -lrth

total 28K
-rw-r–r– 1 root    root       0 Sep  5 14:33 blockhosts.lock
drwxr-xr-x 2 root    root    4.0K Sep  8 15:07 hsperfdata_root
drwxr-xr-x 2 shalafi shalafi 4.0K Sep  8 15:07 hsperfdata_shalafi
drwxr-xr-x 2 shalafi shalafi 4.0K Sep  8 22:05 tmp
drwx—— 2 shalafi shalafi 4.0K Sep 11 09:33 mc-shalafi
drwx—— 2 root    crontab 4.0K Sep 18 09:29 crontab.SbXaQg
drwx—— 2 root    root    4.0K Sep 20 00:12 mc-root
drwx—— 2 shalafi shalafi 4.0K Oct 13 14:33 ssh-JOBbP12449

Om du nu vill ha filnamn och storlek, inget annat så kan man göra så här

shalafi@forsaken:/tmp$ ls -lrth | awk ‘{print $5 " " $9}’

0 blockhosts.lock
4.0K hsperfdata_root
4.0K hsperfdata_shalafi
4.0K tmp
4.0K mc-shalafi
4.0K crontab.SbXaQg
4.0K mc-root
4.0K ssh-JOBbP12449

Som du säkert ser så skriver $ parametrarna ut kolumnen som siffran indikerar, dum numreras med 1 längst till vänster osv. Ett mellanslag (eller flera) visar när nästa kolumn kommer…

Rätt smidigt om du frågar mig    Det finns garanterat 100 andra sätt att göra det men just det här fungerar bra för mig

Bookmark:

Det såg ut så här:

Couldn’t open file /var/lib/aide/please-dont-call-aide-without-parameters/aide.db for reading

En snabb koll i man filen säger att en databas måste initieras, och det gör man genom att starta Aide med parametern –I eller –initialize.  Men det fungerar inte.

Lösningen är ännu enklare, kör aideinit, det kommandor gör all magi och initierar database. Det tar en rätt lång stund, beroende på hur mycket filer du har och har valt att övervaka. När det är klart så kan du testköra med kommandot aide för att se att felmeddelandet är borta.

Om du inte vet vad aide är så står det så här på programmet sida (http://aide.sourceforge.net):

What is AIDE?

AIDE (Advanced Intrusion Detection Environment) is a free replacement for Tripwire. It does the same things as the semi-free Tripwire and more.

There are other free replacements available so why build a new one? All the other replacements do not achieve the level of Tripwire. And I wanted a program that would exceed the limitations of Tripwire.

What does it do?

It creates a database from the regular expression rules that it finds from the config file. Once this database is initialized it can be used to verify the integrity of the files. It has several message digest algorithms (md5,sha1,rmd160,tiger,haval,etc.) that are used to check the integrity of the file. More algorithms can be added with relative ease. All of the usual file attributes can also be checked for inconsistencies. It can read databases from older or newer versions. See the manual pages within the distribution for further info.

Finns som vanligt att installera med apt-get

Bookmark:

cd /-bash: /dev/fd/62: No such file or directory

Det beror helt enkelt på att den mjuka länken /dev/fd tappats bort

Skapa enkelt en ny genom att göra

sudo ln -s /proc/self/fd /dev/fd

börjar fungera direkt!

Bookmark:

/home/K Anka /chroot/K Anka none defaults,bind 0 0

Så kommer du att märka att när du gör en “ mount –a “ för att testa så går det inte, raden blir fel…

Sen testar du att sätta fubbelsnuttar runt ”Kalle Anka” och det går inte heller, inte heller Kalle\ Anka fungerar. Eller hur?

Släng i stället in ett \040 som mellanslag så kommer allt att fungera, så här ska det se ut när det är rätt:

/home/K\040Anka /chroot/K\040Anka none defaults,bind 0 0

Jag upptäckte det när jag försökte sätta upp ett chrootat konto för sftp.

Bookmark:

Warning: The file properties have changed:
        File: /bin/login
        Current hash: 1869895965de0ebab025e5b76ccfe7ff3b53905b
        Stored hash : 0ba3a17f19a617036f9aa21d064109f1834eb46f
        Current inode: 23560211    Stored inode: 23560198
        Current file modification time: 1226559073
        Stored file modification time : 1207184931

Själv så fick jag lite ångest och började tro att något kommit in i systemet Men du behöver inte vara rädd!

Jag har gjort en apt-get update/apt-get upgrade och då har filerna förändrats och rkhunter flaggar dom som ändrade. För att lära rkhunter att du uppdaterat och dom nya filerna är ok kör du bara kommandot

sudo rkhunter –propupd

Nu kommer du inte att få dessa varningar (helt i onödan) längre.

Om du inte vet vad rkhunter är så finns all information här: www.rootkit.nl/projects/rootkit_hunter.html

Bookmark: