한국정보보호진흥원에서 신청하면 만들어 주는거다.
신청하는 거는 검색하면 정말 마니 나온다. 양식에 맞춰 신청하면 된다.
whistl은 웹쉴이 도는 의심되는 파일을 찾아내는 것으로 유용하게 쓰이는 툴이다.
신청하는 곳에 아이디/패스워드 신청을 하는데 그거 잘 기억해야한다;;;
잊어먹음 곤란하다는 ^^;;
파일을 받아 압축을 풀면 여러 파일이 있다.
README.txt pattern.bin usage.dat whistl.log whistl_kernel_2.4 whistl_kernel_2.6
validate.bin
README.txt 파일을 보면 한글로 잘 설명이 되어있다. 그걸 꼭 읽고 참고하자!!
실행하기전에 커널버전에 따른 실행파일을 선택한다.
whistl_kernel_2.4 / whistl_kernel_2.6 이 두파일인데 커널버전에 맞게 실행권한을 준다.
난 커널이 2.6버전이라 whistl_kernel_2.6에 실행권한을 부여하였다.
또 바로 실행한다고 되는 것이 아니라 설정을 해야한다.
./whistl_kernel_2.6 -c
이라고 하면 다음과 같은 설정이 나온다.
===================================================================
Choose Menu : s
[1] Checking Directory : /home <= 체킹위치
[2] Inspection Center directory : /tmp
[3] Extension of php : inc,php,php3,php4,php5,ph,txt,html,htm <= php에서 찾을 파일명들
[4] Extension of jsp : jsp,js <= jsp에서 찾을 파일명
[s] save <= 저장
[q] quit <= 나가기
====================================================================
이렇게 해서 나와 실행을 하면 해당 체킹경로에 대해 웹쉘의심 체크를 한다.
./whistl_kernel_2.6
실행을 하면 아이디/패스워드 입력란이 나오고 신청한 아이디/비번을 입력한다.
돌아가기 시작하면 시간이 좀 거리는 편이다.
마친 상태는 아래와 같다.
=================================================================================
id : nanuminet
pwd : nanuminet!
Checking the configration
[Config] Checking directory : /home
[Config] Inspection Center directory : /tmp
Checking the update status
[INFO] Pattern Update Finished
Checking /home directory
[1 Found] /home/hyukjin/경로/파일명
[1 Found] /home/hyukjin/경로/파일명
[1 Found] /home/hyukjin/경로/파일명
Check Result
[INFO] 7365 Files checked
[INFO] 9 Suspected WebShell
[INFO] Time cost : 00:53:12
[INFO] Finish sending the checking result
[Press <ENTER> to continue]
[1] [1 Found] /home/hyukjin/경로/파일명
[2] [1 Found] /home/hyukjin/경로/파일명
[ view result(v), select (hit num), quit(q) ] : q
=================================================================================
q 누르고 나와서
해당 내용이 whistl.log 에 로그로 기록이 되어 있으니 확인하면 되겠다.
체크된 파일은 의심파일이니 꼭 확인하여 내용을 수정 또는 삭제를 해야한다.
다운
http://sourceforge.net/projects/rkhunter/ 에서 받아도 되고
바고 받는 것은
wget http://downloads.sourceforge.net/project/rkhunter/rkhunter/1.3.4/rkhunter-1.3.4.tar.gz?use_mirror=cdnetworks-kr-1
rkhunter의 압축을 풀고
./installer.sh --layout /usr/local --install 옵션으로 플렛폼 독립적인 /usr/local에 설치할수 있다.
installer.sh만 실행하여 여러 옵션을 볼 수 있다.
보통 기본값으로 설정은
./installer.sh -layout default -install
=================================================================
Checking system for:
Rootkit Hunter installer files: found. OK
Available file retrieval tools:
wget: found. OK
Starting installation/update
Checking PREFIX /usr/local: exists, and is writable. OK
Checking installation directories:
Directory /usr/local/share/doc/rkhunter-1.3.4: creating: OK.
Directory /usr/local/share/man/man8: exists, and is writable. OK
Directory /etc: exists, and is writable. OK
Directory /usr/local/bin: exists, and is writable. OK
Directory /usr/local/lib: exists, and is writable. OK
Directory /var/lib: exists, and is writable. OK
Directory /usr/local/lib/rkhunter/scripts: creating: OK.
Directory /var/lib/rkhunter/db: creating: OK.
Directory /var/lib/rkhunter/tmp: creating: OK.
Directory /var/lib/rkhunter/db/i18n: creating: OK.
Installing check_modules.pl: OK.
Installing check_update.sh: OK.
Installing check_port.pl: OK.
Installing filehashmd5.pl: OK.
Installing filehashsha1.pl: OK.
Installing showfiles.pl: OK.
Installing stat.pl: OK.
Installing readlink.sh: OK.
Installing backdoorports.dat: OK.
Installing mirrors.dat: OK.
Installing os.dat: OK.
Installing programs_bad.dat: OK.
Installing programs_good.dat: OK.
Installing defaulthashes.dat: OK.
Installing md5blacklist.dat: OK.
Installing suspscan.dat: OK.
Installing rkhunter.8: OK.
Installing ACKNOWLEDGMENTS: OK.
Installing CHANGELOG: OK.
Installing FAQ: OK.
Installing LICENSE: OK.
Installing README: OK.
Installing WISHLIST: OK.
Installing language support files: OK.
Installing rkhunter: OK.
Installing rkhunter.conf: OK.
Installation finished.
==============================================================> 설치과정
현재 최근버전은 1.3.4이고 tar.gz 형식으로 제공하나 rpm 사용이 가능한 시스템은 rpm으로 만들수도 있다.
=> rpm -ta rkhunter-1.3.4.tar.gz 명령으로 /usr/src/redhat/RPMS/noarch/rkhunter-1.3.4-1.noarch.rpm
rkhunter을 실행한다.
rkhunter -c
엔터를 치며 결과를 확인하고 다음 체킹으로 넘겨준다.
/var/log/rkhunter.log => 체킹결과는 이곳에 로그로 저장이 된다.
다른 옵션들
rkhunter --configfile = 설정 파일 경로 설정
rkhunter --append-log = 로그파일을 갱신 하지 않고 덧붙임, 이전로그와 함께 보관
rkhunter -c, --check = 시스템 체크
rkhunter --sk, --skip-keypress = 기본적으로 각 테스트후 사용자 입력을 기다리나 이 옵션으로 계속 체크 가능
rkhunter --rwo, --report-warnings-only = 경고 메세지만 출력
rkhunter --display-logfile = 실행 종료후 로그파일 출력
아파치는 기본 세션으로 5개의 프로세스를 구동하여 1명의 유저를 받아드린다.
프로세스가 100개 떠있으면 100명이 아니라는것이다..
물론 서버마다 설정하기 달렸지만 필자는 모니터링 프로그램을 개발하다가 프로세스체크가 비효율적인것이라 판단되어
netstat -na |grep :80 |awk '{print $5}' | sed 's/::ffff://g' |awk -F ":" '{print $1}' |sort |uniq |wc -l
위와같은 방식으로 카운팅을 해버렸다.(허용오차 ±3)
출처 : juunoya
최근 덧글