Unterlagen für die Lernenden: Aufgaben

Transkript

1 Computer Forensics Walt Disney Unterlagen für die Lernenden: Fassung vom Computer Forensics 1

2 Vorwort Dieses Praktikum widmet sich der forensischen Analyse eines geknackten Systems. Die Vorgehensweise bei Computer Forensics ist mit echter Detektivarbeit zu vergleichen und weist viele Parallelen auf. Auf der fiktiven Seite wartet Inspector Gadget (Vrgl. Titelseite) aus dem gleichnamigen Trickfilm mit seiner unglaublichen Summe von Gadgets, die er anwenden kann um einen Fall zu lösen. Unser Ziel ist es, dass auch Sie nach diesem Praktikum eine Menge von Tools und Gadgets kennen und anwenden können. Die Praktikumsarbeit wird in Vierergruppen durchgeführt. Innerhalb dieser bilden sich jeweils zwei Zweiergruppen, sog. Detektivteams. Jedes Zweierteam hat einen eigenen Rechner zur Verfügung. Für die Bearbeitung der einzelnen, schwärmen die beiden Zweierteams einer Vierergruppe aus und lösen an ihrem Rechner die. Nach einer vorgegebenen Zeit treffen sich die beiden Detektivteams und tauschen ihre Resultate aus, welche die Vierergruppe gemeinsam notiert. Das Ende des Praktikums ist für gemeinsamen Wissensaustausch und Diskussion zwischen den Vierergruppen reserviert. Computer Forensics 2

3 1 Tools und Images Wir haben uns vorgenommen ein angegriffenes System zu untersuchen und möglichst viele Informationen über die Angreifer und deren Taktiken herauszufinden. Dazu brauchen wir zunächst eine Werkzeugkiste mit den wichtigsten Werkzeugen (Tools) für die Durchführung der Analyse. Danach brauchen wir noch ein angegriffenes System, bzw. dessen Abbild, ein sogenanntes Image. Ein Image ist eine 1 zu 1 Kopie der Partitionen von der Festplatte des angegriffenen Systems. Die im Praktikum zur Verfügung gestellten Images stammen von einem echten System, welches im Jahre 2000 von Hackern angegriffen und geknackt worden ist. 1.1 Tools und Befehle In diesem Praktikum werden wir das Coroner s Toolkit verwenden. Die komprimierte Datei tct tar.gz sollte sich bereits auf ihrem Rechner befinden. Gegebenenfalls können Sie das Toolkit auch aus dem Internet unter herunterladen. : Installieren Sie das Toolkit auf ihrem Rechner. Machen Sie sich mit den Tools vertraut. Dazu können die Hilfedateien und die Informationen auf der Website verwendet werden. Notieren Sie in wenigen Sätzen zu jedem Tool, wozu es verwendet und wie es eingesetzt werden kann. Machen Sie sich zudem mit den LINUX/Unix-Befehlen find, grep, cat, strings, less vertraut. 1.2 Images Nachdem Sie die wichtigsten Tools kennen, wird das Image des angegriffenen Systems geladen. Die Datei images.tar sollte sich bereits auf Ihrem Rechner befinden. : Dekomprimieren Sie die Datei images.tar : Sie erhalten die sechs Partitionen honeypot.hda*.dd. Die Partitionen entsprechen folgendem System Layout: /dev/hda8 / /dev/hda1 /boot /dev/hda6 /home /dev/hda5 /usr /dev/hda7 /var /dev/hda9 swap Bei jeder forensischen Analyse ist es wichtig, dass die Images nicht verändert werden. Wir wollen sicherstellen, dass die soeben entpackten Partitionen auch genau den Originaldaten entsprechen. Die Originaldaten wurden deshalb mit einer sogenannten MD5 Checksum (Summe) versehen. Beschreiben Sie mit ein paar kurzen Sätzen, wie eine solche MD5 Summe berechnet wird und warum sie zur Konsistenzprüfung verwendet werden kann. Erstellen Sie von den ausgepackten Partitionen die MD5 Summen und vergleichen Sie diese mit den originalen Summen: Original MD5 Checksum image a1dd64dea2ed889e61f19bab154673ab honeypot.hda1.dd Computer Forensics 3

4 c1e1b0dc502173ff e3ce8646b honeypot.hda5.dd 4a20a173a82eb76546a7806ebf8a78a6 honeypot.hda6.dd 1b672df23d3af ad4f08c49d honeypot.hda7.dd 8f244a87b8d38d a91c43b honeypot.hda8.dd b763a14d2c724e23ebb5354a27624f5f honeypot.hda9.dd Mit dem Befehl mount können die Partitionen zum System hinzugefügt (gemountet) werden. Machen Sie sich in einem ersten Schritt mit den verschiedenen Parametern des mount Befehls vertraut. Mounten Sie nun die Partitionen als File im read-only Modus. Notieren Sie die Befehlssequenz. Die swap und boot Partitionen brauchen Sie nicht zu mounten. 2 Forensische Analyse Nachdem wir die Tools kennen und die Images der Partitionen gemountet haben, können wir mit der eigentlichen forensischen Analyse beginnen. Grundsätzlich ist die Vorgehensweise der Analyse keinem richtig oder falsch unterstellt. Jeder Untersucher hat zudem seine eigene Taktik und seine eigene Art der Vorgehensweise. Um Ihnen Unterstützung zu bieten, sind die Abläufe in diesem Praktikum gegliedert: Allgemeine Informationen über das System Passwort und Shadow Dateien Logfiles SUID Root Dateien Versteckte Verzeichnisse und /dev MAC-Time Analyse Wiederherstellen von gelöschten Daten Innerhalb der obigen Gliederung braucht es aber von Ihnen viel Kreativität, denn denken Sie daran: Auch die Angreifer haben ihre eigene Kreativität gebraucht, um ihren Angriff durchzuführen und um möglichst viele Spuren im System zu verwischen! 2.1 Allgemeine Informationen über das System In diesem Schritt wollen wir möglichst viele Informationen über das befallene System herausfinden. Diese Informationen bilden die Grundlage für unsere Analyse. Dokumentieren Sie neben den Antworten auch, wie Sie an die Informationen gelangt sind und wo Sie sie gefunden haben! Welches Betriebssystem wurde verwendet? Welche Version? Wann wurde das Betriebssystem aufgesetzt? Welche Zeitzone weist das System auf? Wann wurde die Maschine gestartet (gebootet)? Computer Forensics 4

5 2.2 Passwort und Shadow Dateien Die Untersuchung der passwd und shadow Dateien geben Ihnen Auskunft über alle User-Accounts im System. Manche Server können hunderte von Accounts aufweisen, und eine Untersuchung ist zeitintensiv. Dennoch sollte Sie dieser Aufwand nicht davon abhalten, nach verdächtigen oder unbekannten Accounts zu suchen! Aufgabe Suchen Sie nach verdächtigen User-Accounts, bei Hackern beliebt ist beispielsweise der nobody - Account ohne gesetztes Passwort. Dokumentieren Sie Ihr Vorgehen! Halten Sie besonders Ausschau nach: Accounts ohne Passwörter Gelöschte Passwörter Accounts mit UID 0, welche allerdings nicht ROOT sind Falsche Reihenfolge von UID/GID 2.3 Logfiles Jedes System hat eine Menge von Logfiles, wo Informationen über die letzte Benutzung von Befehlen oder Meldungen des Betriebssystems abgespeichert werden. Diese Logfiles können eine sehr hilfreiche Quelle an Informationen darstellen, um die Vorgehensweise der Angreifer nachzuvollziehen. Aufgabe Untersuchen Sie die folgenden Logfiles: Shell history Datei:.bash_history /var/log/messages /var/log/secure /var/log/maillog Was fällt Ihnen auf? Halten Sie insbesondere Ausschau nach Installationen von sogenannten Rootkits. 2.4 SUID Root Dateien Die Ausführung von gewissen Programmen erfordert ROOT Privilegien. In einem System möchte man natürlich nicht allen Usern ROOT Privilegien geben. Damit aber ein normaler Benutzer ohne ROOT Rechte, diese Programme dennoch starten kann, existieren im System sogenannte suid root Programme. Wenn beispielsweise ein Benutzer passwd ausführt, so ist die userid dieses Prozesses ROOT. Suid root Programme sind oftmals Ziele von Angreifern, da die originalen Programme durch veränderte Programme (auch Trojaner genannt) ersetzt werden können. Nach aussen betrachtet verändert sich die Funktion der Programme nicht, die ROOT Privilegien ermöglichen dem Angreifer jedoch, etwa die Installation einer Backdoor. Suid root Programme erkennen Sie am s an der Stelle eines x, wenn Sie ls -l ausführen: ls l /usr/bin/passwd -r-sr-xr-x 1 root... ^ Computer Forensics 5

6 Suchen Sie alle suid root Programme! Kontrollieren Sie von allen Programmen die MD5 Summe: verwenden Sie dazu den Befehl rpm Halten Sie Ausschau nach verdächtigen Programmen. 2.5 Versteckte Verzeichnisse und /dev Versteckte Verzeichnisse Angreifer nützen oftmals versteckte Dateien und Verzeichnisse, um die Spuren ihres Angriffes zu vertuschen und um beispielsweise Rootkits zu verbergen. Da jedes Betriebssystem eigene und ungefährliche versteckte Dateien und Verzeichnisse aufweist, gilt es bei dieser Analyse die Spreu vom Weizen zu trennen. In der LINUX/Unix Welt beginnen alle versteckten Dateien und Verzeichnisse mit einem Punkt in ihrem Namen, beispielsweise tmp/.font-unix. Aufgabe Suchen Sie nach verdächtigen versteckten Verzeichnissen und analysieren Sie deren Inhalt! Untersuchen von /dev Eine weitere Möglichkeit Dateien zu verstecken, bietet das Verzeichnis /dev. Wenn wir dieses Verzeichnis untersuchen, so müssen wir auch den Modus der Dateien betrachten. Die meisten ungefährlichen Einträge sind im Charakter- oder im Blockmodus. Diese beiden Modi werden durch ein c beziehungsweise b zu Beginn der Dateiattribute gekennzeichnet, wenn ls -l ausgeführt wird. Alle Einträge mit anderen Modi, sind grundsätzlich verdächtig, und brauchen eine nähere Betrachtung. Aufgabe Suchen Sie nach verdächtigen Programmen, welche weder im Charakter- noch im Blockmodus arbeiten. 2.6 MAC-Time Analyse Zu jeder Datei gibt es einen Inode, welcher Zusatzinformation über diese Datei speichert. Diese Zusatzinformationen werden auch als MAC -Attribute bezeichnet: Die Attribute geben Auskunft zu welcher Zeit, die Datei M odifiziert, Zugegriffen ( A ccessed), oder Verändert ( C hanged) wurde. Die Zeiten der MAC-Zeiten werden nach folgenden Ereignissen verändert: M: Sobald Bytes innerhalb der Datei durch einen Schreibvorgang verändert werden oder wenn eine Datei zu einem Verzeichnis hinzugefügt, oder gelöscht wird. A: Immer, wenn eine Datei ausgeführt, oder für eine Leseoperation geöffnet wird. Computer Forensics 6

7 C: Sobald sich der Modus einer Datei, die Benutzerrechte oder der Inhalt verändert hat. Wird der Inhalt einer Datei verändert (Schreiboperation), so verändern sich die M- und C-Zeit. Um die MAC-Attribute einer Datei anzuzeigen, wird der Befehl stat verwendet Erstellen einer Timeline Mit Hilfe der MAC-Attribute ist es uns möglich, die Ereignisse rund ums Filesystem chronologisch zu ordnen wir können eine sogenannte Timeline erstellen und die Aktivitäten des Angreifers verfolgen. Für eine bequeme Erstellung der Timeline werden wir die Tools des Coroner s Toolkit verwenden. Verwenden Sie grave-robber um von allen gemounteten Partition ein body-file zu erzeugen. Dieses Body-File beinhaltet alle MAC-Zeiten sämtlicher Dateien aus den Partitionen. Verwenden Sie nun ils und ils2mac um auch die MAC-Zeiten der gelöschten Inodes wiederherzustellen. Kombinieren Sie die Body-Files mittels cat zu einer einzigen Datei. Verwenden Sie mactime um aus dieser einen Datei eine Timeline des Systems zu erstellen; Beginnen Sie die Timeline am 6. November Analyse der Timeline Nachdem wir die Timeline des angegriffenen Systems erstellt haben, soll die Analyse aufzeigen, wo und wie die Angreifer ins System gelangt sind. Tipp: Beginnen Sie Ihre Analyse ab dem 8. November Welche Ereignisse fallen Ihnen auf? Welche Dateien wurden geöffnet, oder verändert? Welche Dateien wurden in versteckten Verzeichnissen installiert? Worauf deutet dies hin? 2.7 Wiederherstellen von gelöschten Daten Viele Spuren der Angreifer befinden sich in gelöschten Dateien im System. Gelöschte Dateien können wiederhergestellt werden, solange der dazugehörige Inode noch vorhanden ist. Typischerweise brauchen Angreifer gewisse temporäre Verzeichnisse oder Dateien, wenn sie ein Rootkit installieren. Gelingt es uns diese Daten wiederherzustellen, so haben wir weitere eindeutige Beweise Wiederherstellen einzelner Dateien Finden Sie die gelöschte Datei des Benutzers drosen vom 8. November (ca. 2 MB). Tipp: Gelöschte Dateien lassen sich in der body Datei aus dem grave-robber Tool erkennen. (Die Einträge sind nur vorhanden, wenn Sie komplett durchgeführt haben) Verwenden Sie das Tool icat, um die Daten wiederherzustellen und in einer Datei abzuspreichern. Computer Forensics 7

8 Um welchen Dateityp handelt es sich? Versuchen Sie den Inhalt der Datei zu interpretieren Suche nach und in gelöschten Daten einer Partition Neben der Wiederherstellung einzelner Dateien, ist es mit dem Coroner s Toolkit auch möglich innerhalb einer gesamten Partition nach gelöschten Daten zu forschen. Das Tool unrm ergibt uns alle wiederherstellbaren Daten aus der Partition. Wir beschränken uns auf die Partition honeypot.hda7.dd. Wenden Sie unrm auf die angegebene Partition an. Versuchen Sie die Stelle zu finden, welche aufzeigt, wo der Angreifer eine root shell an den Port 4545 bindet. Computer Forensics 8