Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

sollte man stets sehr mißtrauisch gegenüber Downloads von Software aus dem Internet
sein.
Ein gutes Beispiel ist z.B. der DFN-CERT (http://www.cert.dfn.de), der stets den Server
überwacht und auch glaubhaft machen kann, daß die Sicherheitsvorkehrungen auch
ausreichend sind. Im Gegensatz zu fast allen anderen Sites wird auch ausführlich
beschrieben, wie der Server abgesichert wurde, und mit welchen Werkzeugen dies
geschehen ist. Dabei kommt es entscheidend darauf an, ob der Systemadministrator
nachweisen kann, daß alle wichtigen Untersuchungen (buffer overflow....) auch
stattgefunden haben und mehrfache Sicherheitsabsicherungen (chroot(), chuid()) installiert
sind. Allein die Angabe, daß z.B. Windows NT und Firewall-1 im Einsatz sind, ist völlig
unzureichend, und grob irreführend.
Der DFN CERT verfügte über lange Zeit nur über einen modifizierten CERN HTTPD
Server unter FreeBSD und einen einfachen PAKETFILTER, DRAWBRIDGE. Dieser
kostenlose und relativ einfache, dynamische Packetfilter hat unzähligen Angriffen
standgehalten. Der Hauptgrund für die Sicherheit lag einfach darin, daß die Security Policy
konsequent umgesetzt und auch strikt befolgt wurde.
24.1 Analyse eines Programmes aus dem Internet
Um einfach mal zu zeigen, wie auch ein völlig unerfahrener Administrator ein (vermutlich)
trojanisches Pferd entdecken kann, sei hier in kleinen Schritten beschrieben, wie man z.B.
NEOPLANET, einem Aufsatz auf den Internet-Explorer die kleinen Schweinereien seiner
Programmierer entlocken kann. NEOPLANET sei nun ein vermutlich trojanisches Pferd,
ein Kommentar von Neoplanet selber findet sich im Anschluss. Das Verfahren ist auch auf
andere Betriebssysteme anwendbar.
Wir beginnen mit der Installation von Neoplanet auf einem Rechner mit Netzwerkkarte,
jedoch ohne diesen an das Netzwerk anzuschließen
Nach der Installation kann man Neoplanet über das Startmenü erreichen. Mit Hilfe der
rechten Maustaste lassen wir uns über "Eigenschaften" das Verzeichnis der Datei
Neo20.exe anzeigen. Dies ist das Programm, welches wir auf "Schweinereien"
untersuchen wollen.
Wir installieren uns einen LINUX Host, den wir mit dem Arbeitsplatz - PC verbinden. Es
muß ein User angelegt werden, z.B. user1 mit dem Paßwort: 4R5.
Man öffnet eine DOS Shell und wechselt in das Verzeichnis des zu untersuchenden
Programmes, hier ist es C:\\programme\neoplanet. Mit ftp IP-LINUX-HOST, dem Login
von user01 und dem gültigen Paßwort kann man nun das Programmm mit put neo20.exe
auf den LINUX Host herüber kopieren.
Nun kann man das Programm auf dem LINUX Host untersuchen:
Wir benutzen den Befehl "strings", um ASCII Zeichenketten aus dem .EXE File zu
extrahieren. Der Befehl funktioniert mit ausführbaren Programmen von allen Intel
Betriebssystemen. Wir leiten die Ausgabe in ein File, welches wir danach mit einem Editor
noch ein wenig bearbeiten:
user01@tunix:~ > strings Neo20.exe >> neo20.strings
user01@tunix:~ >
Danach öffnen wir mit "joe" die Datei neo20.strings und kämpfen uns mit "strg-k v" bis zum
Ende der Datei vor. Alle relevanten Strings befinden sich am Ende des .EXE Files. Die
Stings werden zumeist vor der Angabe des Compiler Herstellers eingeleitet, hier ist es z.B.
Microsoft, an anderen Fällen könnte es Borland sein. Die verwendete
Erstellt von Doc Gonzo - http://kickme.to/plugins