Overflow-2!"; content:"|5858 5858 582F|"; flags: PA;)# New BOF from CyberPsychotic, this one detects Duke's wu-ftpd attackalert tcp any any -> $HOME_NET 21 (msg:"FTP buffer overflow1!"; content:"|5057 440A 2F69|";)--------------------------- overflow-lib -----------------------------Mantendo-se atualizado dos principais exploits e entendendo um poucode "ASM", voce estara apto a criar regras para o Snort parecido com asque vimos no arquivo "overflow-lib" acima que ja vem com o Snort.Um outro meio de tambem dificultar a acao de kiddies e o uso deferramentas protetoras como o "Saint Jude" que sera descrito mais abaixo!http://packetstorm.securify.com2.4 - Virus-------------Os usuarios comuns nao conhecem o mundo da seguranca, mas quando se tocana frase "virus de computador", eles sabem muito bem do que se estafalando! Um virus nada mais e do que um programa que procura executaracoes semelhantes aos virus no mundo real, tais como se reproduzir, seesconder, procurar se defender, ou seja, sobreviver!No Linux existem varios virus e varios tipos de virus! Nao pense que estou falando bobagem, porque quem e do ramo da seguranca sabe que isto e um fato! Temos exemplos publicos na Internet ha varios anos, tais como o "Bliss", por exemplo. Apesar deles serem bastante limitados quandocomparados com virus em ambiente DOS/Windows, eles tambem sao capazesde destruir dados em linux e causar um verdadeiro estrago! O fato dosistema Linux setar permissoes nao serve como uma solucao! Se um virus infecta os arquivos de um usuario, as chances dos arquivos dosistema serem infectados por ele sao bastante grandes! Temos que pensartambem em termos de vulnerabilidades, um virus poderia explorar umafalha no sistema para obter root e comprometer todo o sistema(Lembre-sedo worm do Robert Morris, ele era p/ unix!).Melhor do que ficar apenas teorizando e esperando o fato se consumar ede fato ir se precavendo! Podemos setar permissoes em arquivos quepoderiam dificultar a acao de alguns virus, tais permissoes poderiamser setadas com o uso do comando chattr! Sim, um virus poderiaperfeitamente executar este comando como root e de fato alterar aspermissoes! Mas nos podemos dificultar ainda mais a acao de um virusdeste tipo, setando um "alias" para a execucao de outro programa, antesde executar o chattr propriamente dito.Abaixo segue um exemplo:--------------------------- cha.c -----------------------------/* Aumentando a seguranca do chattr */#include #include main(int argc, char *argv[0]){char buffer[20],argumentos[40];char comando[80];if(argc < 3){execl("/usr/bin/chattr","chattr",0);exit(0);}if(argc == 3){snprintf(argumentos,39,"%s %s",argv[1],argv[2]);}if(argc == 4){snprintf(argumentos,39,"%s %s %s",argv[1],argv[2],argv[3]);}printf("Este comando eh bloqueado por senha.\n");printf("Favor digitar a senha correta: ");scanf("%19s",&buffer);if(!strcmp(buffer,"senha")){printf("senha ok!\n");sprintf(comando,"/usr/bin/chattr %s",argumentos);system(comando);}else{printf("Senha Invalida!\n");}return 0;}scanf("%19s",&buffer);if(!strcmp(buffer,"senha")){printf("senha ok!\n");sprintf(comando,"/usr/bin/chattr %s",argumentos);system(comando);}else{printf("Senha Invalida!\n");}return 0;} --------------------------- cha.c -----------------------------E obvio e evidente que este programa serve apenas como esboco paranos!! Muitos script kiddies de fato iriam parar no meio do caminho,pois nao sabem nem o que e chattr, e o fato do proprio executavel pedindosenha iria desencoraja-los de praticarem muitos atos! Mas para um NewBieFucador, este esquema acima precisa ser muito melhorado e de fato, sevoce manja de LKM pode implementa-lo a nivel de kernel, ai a coisa secomplica ate para quem eh hacker! :)Mas voltando a questao dos virus, de fato, os mesmos podem ser combatidos!setando bem as permissoes. Na parte de backdoors, voce pode ver que eufiz um simples shell script para setar maiores permissoes Ext2fs em alguns arquivos essenciais! Voce pode fazer o