va_list ap);typedef void (*verrx_t) (int status, const char *format, va_list ap);Vimos acima ela tentando proteger as funcoes *printf e syslog, no entantonada relacionado a printk que e usada pelo kernel e por aplicacoes em LKM(Loadable Kernel Modules). Como eu tenho conhecimento de pelo menos umLKM bugado, e que de fato se pode exploitar funcoes printk(), a libformatpode ser util somente para defender processos no user-space e no momentonao pode ser vista como uma solucao eficaz!2.8 - Backdoors-----------------Aqui a coisa esquenta e muito para o lado do administrador. Se um atacanteobteve acesso ao sistema, tem casos muito complexos de se determinar quea rede possui uma backdoor. Para ser bem sincero, existem tecnicas que saoliteralmente capazes de "esconder" um invasor atraves de uma backdoor noseu sistema. Irei apenas descrever os metodos mais basicos de procurarbackdoors simples e conhecidas, de modo que e melhor previnir do queremediar! Ou seja, procure sempre evitar que um atacante obtenha acessoao sistema, senao a coisa podera se complicar para o seu lado.Existem centenas de tipos de backdoors. Dependendo do sistema, um atacantepodera instalar backdoors classicas, se for um kiddie, backdoors antigase ultrapassadas. Para maiores detalhes sobre os principais tipos debackdoors, recomendo a leitura do meu tutorial "BACKDOORS E TROJANS -Parte 1", disponivel no Blog. As backdoors possuem ointuito de permitir que os acessos futuros de um invasor seja conseguidodo modo mais facilitado possivel! A grande maioria das backdoors, procuramalterar dados no sistema para que o acesso futuro seja nao apenasfacilitado, mas que tambem evite que o administrador da rede possaperceber que existe um intruso em sua rede.Existem tambem varios metodos de deteccao de backdoors, sendo o metodoTripWire um dos mais recomendados. O que programas como TripWire fazem ecriar um banco de dados de informacoes de determinados arquivos visandocomparacoes futuras. Se uma backdoor e instalada no sistema, voce quandoexecutar o TripWire, ele ira notar as alteracoes nos arquivos do sistema.Uma excelente ferramenta capaz de gerar tais banco de dados e fazer taiscomparacoes ao estilo TripWire e o LSTAT, feito pelo Skylazard, que podeser obtido em:http://insecure.org/Algumas backdoors amplamente conhecidas, como a do inetd, rootkits como o"Linux Rootkit" dentre outros, sao facilmente detectadas quando osistema se utiliza de tais ferramentas.Outra ferramenta capaz de detectar muitos tipos de backdoor e o chkrootkitdo Nelson Pangeia. Atraves de um shell script, esta ferramenta executaalguns programas e procura atraves de "assinaturas" de backdoors, detectaralguns rootkits. Ele e capaz de detectar os mais conhecidos Rootkitsfeitos em LKM como o adore e o knark, tambem detecta o famoso "LinuxRootkit", bem como algumas backdoors do tipo 'bindshell'. Ele pode serobtido em:http://packetstorm.securify.comNo entanto, ambas as ferramentas ainda sao falhas quando se lida comboas Backdoors feitas em LKM. No que se refere ao LKM, a manipulacao desystemcalls diretamente no kernel, torna tais programas ineficientes.O chkrootkit tentou criar um metodo p/ detectar as backdoors no user space,atraves de chdir() em /proc/X, onde X e o um intervalo numerico referenteao PID dos programas. Em uma das minhas versoes da backdoor Sombria, eudescrevi pormenores de como se passar por esta protecao. LKM e umapoderosa ferramenta, e se torna dificil p/ um administrador lutar contraela.