#OCJP-134: ダブル「sh」ELFのリバーシング （Linuxハッキング事件調査）

■はじめに 今回Linuxのハッキング事件のレポートを書かせて頂きます。 内容的には「Linux OS x86」、「ELFバイナリリバーシング」と「シェルコード」の絡みとなります。 この記事を読むだけでもOKですし、もし再現したい場合ASM、gccとLinuxリバーシングのノウハウが必要だと思います。環境的にLinuxのシェルですので解析は全てradare2でやりました。 取り合えず簡単に書きますので、リラックスしながら楽しくに読んで下さい。 ■ハッキングされた情報 とあるLinuxマシンに怪しいプロセスが発見されました↓ 28641 ? S 0:00 [kworker/2:0] 30514 ? S 0:00 [kworker/1:0] 30518 pts/1 S+ 0:00 [sh] 31544 ? S 0:00 [kworker/3:2] 31670 pts/1 S 0:00 nets

[lowpowerschottky]

“(readelfで)ハッキングされたマシンでコンパイルされた物”

[ykameda48]

#OCJP-134: ダブル「sh」ELFのリバーシング （Linuxハッキング事件調査） saved. IFTTT Manage this Applet 45829482: http://email.ifttt.com/wf/click?upn=6tNAOFwxcF8KzWlMrDEXkIEDiqSckzA7sBu1-2B1B9l5HzB1B1Lcs1WaUkobd0YHz-2FaienJ36UoXMTZlyg8YsO0w-3D-3D_LbAwYBKYNSaMePZiTP5ibTCEbEIWn69TZ

[unixfreaxjp]

落ち着いたらサンプルのバイナリファイルをVTにアップロードします。