Исходное сообщение
"Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..." Отправлено n00by, 14-Июн-22 07:54
>>я просто для других напишу: LD_PRELOAD решает в данном случае задачу не только закрепления в системе. > Этот хак с LD_PRELOAD работает с правами обычного пользователя с правами которого > запущен или root необходим в принципе? Напоминаю Unix-way: каждая программа хорошо делает своё дело. 1. "эксплоит" - получает права; 2. руткит - закрепляется в системе, скрывает присутствие, осуществляет атаку "человек посередине" -  всё это решается одним махом - _документированным_ и предназначенным именно для этого способом, т.е. не хаком, как это было бы в случае инъекций кода в чужие адресные пространства. > Если без рута ни как вообще, то твои опасения безпредметны, и судя > по тому как твой оппонет делал такие вещи таки права рута > необходимы, иначе бы сейчас тварился полный абзац с вирусами. "Оппонент" пока что не нашёл ничего лучше чем убеждать меня, что мы с коллегой не написали 15 лет назад реализацию стандартной библиотеки Си++, которая позволяет собирать std::cout << "hello" в 25кб исполняемый файл без зависимостей от C runtime. То есть скатился до отрицания объективной реальности. Не надо уподобляться ему - изучайте вопрос. Начать можно так: 1. вбиваем LD_PRELOAD в поисковик 2. тыкаем наобум ссылку на журнал Ксакеп https://xakep.ru/2020/12/29/ld_preload-rootkit/ 3. читаем: К при­меру, если нам нуж­но пред­загру­зить биб­лиоте­ку ld.so, то у нас будет два спо­соба:     Ус­тановить перемен­ную сре­ды LD_PRELOAD с фай­лом биб­лиоте­ки.     За­писать путь к биб­лиоте­ке в файл /etc/ld.so.preload. В пер­вом слу­чае мы объ­явля­ем перемен­ную с биб­лиоте­кой для текуще­го поль­зовате­ля и его окру­жения. Во вто­ром же наша биб­лиоте­ка будет заг­ружена рань­ше осталь­ных для всех поль­зовате­лей сис­темы. Далее перепроверяем. Есть документация https://man7.org/linux/man-pages/man8/ld.so.8.html        LD_PRELOAD               A list of additional, user-specified, ELF shared objects               to be loaded before all others.  This feature can be used               to selectively override functions in other shared objects. Есть исходники...

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>я просто для других напишу: LD_PRELOAD решает в данном случае задачу не только закрепления в системе. >> Этот хак с LD_PRELOAD работает с правами обычного пользователя с правами которого >> запущен или root необходим в принципе? > Напоминаю Unix-way: каждая программа хорошо делает своё дело. > 1. "эксплоит" - получает права; > 2. руткит - закрепляется в системе, скрывает присутствие, осуществляет атаку "человек посередине" > - всё это решается одним махом - _документированным_ и предназначенным > именно для этого способом, т.е. не хаком, как это было бы > в случае инъекций кода в чужие адресные пространства. >> Если без рута ни как вообще, то твои опасения безпредметны, и судя >> по тому как твой оппонет делал такие вещи таки права рута >> необходимы, иначе бы сейчас тварился полный абзац с вирусами. > "Оппонент" пока что не нашёл ничего лучше чем убеждать меня, что мы > с коллегой не написали 15 лет назад реализацию стандартной библиотеки Си++, > которая позволяет собирать std::cout << "hello" в 25кб исполняемый файл без > зависимостей от C runtime. То есть скатился до отрицания объективной реальности. > Не надо уподобляться ему - изучайте вопрос. Начать можно так: > 1. вбиваем LD_PRELOAD в поисковик > 2. тыкаем наобум ссылку на журнал Ксакеп https://xakep.ru/2020/12/29/ld_preload-rootkit/ > 3. читаем: > К при­меру, если нам нуж­но пред­загру­зить биб­лиоте­ку > ld.so, то у нас будет два спо­соба: > Ус­тановить перемен­ную сре­ды LD_PRELOAD с фай­лом биб­лиоте­ки. > За­писать путь к биб­лиоте­ке в файл /etc/ld.so.preload. > В пер­вом слу­чае мы объ­явля­ем перемен­ную с биб­лиоте­кой > для текуще­го поль­зовате­ля и его окру­жения. Во вто­ром же > наша биб­лиоте­ка будет заг­ружена рань­ше осталь­ных для > всех поль­зовате­лей сис­темы. > Далее перепроверяем. Есть документация https://man7.org/linux/man-pages/man8/ld.so.8.html > LD_PRELOAD > > A list of additional, user-specified, ELF shared objects > > to be loaded before all others. This feature > can be used > > to selectively override functions in other shared objects. > Есть исходники...
	Введите код, изображенный на картинке: