Re: LKM

On Fri, Nov 23, 2001 at 04:50:39PM +0100, SirPsychoSexy wrote:
[snip pa pa pa..]
> Solo non riesco a trovare il modulo che viene caricato.
> A questo punto inizio a dubitare che ci sia e penso che quello che mi sono 
> trovato sia un rootkit che modifica solo i binari.
> Perņ non capisco quel problema con ls (sicuramente sono permessi).
> Inoltre in /dev/ptyas/.tc2k ci dovrebbero essere gli originali di ls e lsof 
> (se uso /dev/ptyas/.tc2k/ls -al funziona benissimo) ma non riesco a vederli 
> anche con "dir -al".
> Ah, infine, ls sono riuscito a importarlo sul sistema, ma solo sulla di 
> /root, sulla /root/bin non ne vuole sapere di andarci (possibile che qualche 
> tecnica non gli permetta di arrivare alle dir nel path?)

http://www.s0ftpj.org/tools/kstat.tgz
 
con questo tool di fusys dovresti trovare il modulo che probabilmente ti
intercetta la getdents(...) e non ti fa vedere alcuni file (per questo
non riesci ad usare ls) cmq e' solo un'ipotesi :)
per ulteriori spiegazioni tecniche ti rimando al bfi relativo 
ciao 

---
Night_Haw
GnuPG key id:1024D/4FE33FC4
---

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List