home *** CD-ROM | disk | FTP | other *** search
/ SuperHack / SuperHack CD.bin / documentos / Huellas.txt < prev    next >
Text File  |  1999-05-11  |  34KB  |  606 lines
  1.                      "Como cubrir tus huellas"
  2.  
  3.                                        
  4.   
  5.                            PRIMERA PARTE: TEORIA
  6.                                  I. Introduccion
  7.                                 II. Estado Mental
  8.                                  III. Lo Basico
  9.                                  IV. Avanzado
  10.                                V. Bajo Sospecha
  11.                                  VI. Detenido
  12.                                 VII. Programas
  13.   
  14.   
  15.                                 I. Introduccion
  16.  
  17.  Este texto esta dividido en 2 partes. La primera explica la teoria de borrar las huellas en un sistema y las razones
  18. de hacerlo. La segunda te muestra los pasos a tomar en un sistema UNIX y las cosas que debemos evitar. Si eres
  19. muy descuidado y flojo para leer todo el articulo (estupido) entonces lee la segunda parte. 
  20.  
  21.  Si piensas que conocer los exploits mas nuevos es la cosa mas importante para hackear un sistema estas
  22. equivocado. ¿Como un exploit te va ayudar cuando te demanden y te quiten tus cuentas y computadoras? La
  23. cosa verdaderamente importante para hackear es no ser sorprendido. 
  24.  
  25.  Es la PRIMERA cosa que un hacker debe dominar, por que en muchas ocasiones, especialmente cuando un
  26. objetivo esta constantemente vigilado debido a los multiples ataques que haya sufrido, tu primer hack puede ser
  27. el ultimo o 
  28.  si quieres aprender a limpiar tus huellas despues de aprender lo basico sobre unix cambiar tus habitos puede
  29. resultarte dificil.    Asi que ¡examina estas secciones con cuidado!   Hasta un hacker experimentado puede
  30. aprender un poco en estos bytes. 
  31.  
  32. Asi que esto encontraras aqui: 
  33.           Seccion I - Me estas leyendo (introduccion). 
  34.          Seccion II - Las cosas mentales para convertirte paranoico. 
  35.                       1. Motivacion 
  36.                       2. Por que debes ser paranoico 
  37.                       3. Como convertirte en paranoico 
  38.                       4. Permanecer paranoico 
  39.         Seccion III - Lo basico ANTES de hackear. 
  40.                       1. Prefacio 
  41.                       2. Asegurate 
  42.                       3. Tu propia cuenta 
  43.                       4. Los Registros (LOGS) 
  44.                       5. No dejes huella 
  45.                       6. Cosas que debes evitar 
  46.          Seccion IV - Tecnicas avanzadas 
  47.                       1. Prefacio 
  48.                       2. Previene que te localizen 
  49.                       3. Encuentra y manipula los registros (logs) 
  50.                       4. Checa la configuracion syslog y el archivo 
  51.                       5. Revisa los programas de seguridad instalados 
  52.                       6. Checa los admins 
  53.                       7. Como "corregir" el software de verificacion checksum 
  54.                       8. Trucos de seguridad 
  55.                       9. Miscelanea 
  56.           Seccion V - Que hacer si estas bajo sospecha 
  57.          Seccion VI - Las cosas que debes y no debes hacer cuando seas 
  58.                       sorprendido 
  59.         Seccion VII - Programas 
  60.  
  61. Lean con cuidado y sean todos ustedes impresionados. 
  62.   
  63.                                   II. Mental
  64.  
  65.  * Motivacion * 
  66.  El aspecto mental es la llave para ser exitoso en todo. 
  67.  
  68.  Es el poder de motivarte a ti mismo, luchar si duele, ser autodisciplinado, paranoico y realista, calcular los riesgos
  69. correctamente y hacer cosas que no te gustan pero son importantes. 
  70.  
  71.  Si no puedes motivarte a ti mismo para programar herramientas importantes y esperar el momento perfecto para
  72. atacar el objetivo, entonces nunca llegaras a ningun lado con tus "hacks". 
  73.  
  74.  Un hacker exitoso debe cumplir con estos requisitos mentales. Es como hacer fisiculturismo o una dieta - puedes
  75. aprenderlo si realmente intentas. 
  76.  
  77. HASTA EL MEJOR CONOCIMIENTO NO TE AYUDARA HASTA QUE ESTES REALMENTE PREOCUPADO
  78. POR TOMAR PREVENCIONES Y DE HECHO HACERLAS. 
  79.  
  80.     * Por que debes ser paranoico * 
  81.  
  82.  Es verdad que ser paranoico normalmente no es algo que hace tu vida mas feliz. De cualquier manera si no estas
  83. esperando lo peor, cualquier cosa puede pasarte y perderas el balance. Y recuerda que hackear es arriesgar
  84. mucho las cosas. 
  85.  En tu vida normal no debes preocuparte mucho de policias, ladrones y cosas de ese tipo. Pero si estas del otro
  86. lado recuerda que tu haces la vida a otras personas dificil, les creas pesadillas y les das trabajo extra - Y quieren
  87. detenerte. 
  88.  
  89.  Aunque sientas que no cometes un crimen - de hecho lo haces. Las cacerias de hackers en Mexico no son
  90. populares pero en caso de desatarse alguna todos nos veremos involucrados. Ademas recuerden que aqui en
  91. Mexico no existe 
  92.  aquello de "culpable hasta que se demuestre lo contrario." Me ha tocado saber de amigos mios que son sacados
  93. de la red simplemente por entablar conversaciones por correo electronico respecto a hackear sin hacerles ningun
  94. tipo de pregunta (vil autoritarismo). 
  95.  
  96.  Una vez que tengas el estigma de un hacker jamas podras quitartelo. Una vez que estes en los records criminales
  97. es dificil conseguir trabajo. Ninguna compañia de software o relacionada con sistemas te contratara, tendran
  98. miedo de tus aptitudes y te veras a ti mismo forzado a emigrar o tu vida estara perdida. 
  99.  
  100.      ¡SE PARANOICO! 
  101.      ¡PROTEGETE A TI MISMO! 
  102.      ¡RECUERDA QUE TIENES TODO QUE PERDER! 
  103.      ¡NUNCA TE SIENTAS TONTO DE HACER ALGO EXTRAORDINARIO PARA EVITAR QUE TE 
  104.      LOCALIZEN! 
  105.      ¡QUE NUNCA TE IMPORTE QUE OTROS SE RIAN DE TU PARANOIA! 
  106.      ¡NUNCA SEAS LO BASTANTE FLOJO O CANSADO PARA MODIFICAR LOS REGISTROS! 
  107.      ¡¡¡UN HACKER DEBE HACER SU TRABAJO AL 100%!!! 
  108.  
  109.    * Como convertirse en paranoico * 
  110.  
  111.  Si tu lees la parte de arriba y piensas que es verdad, es facil - ya estas paranoico. Pero debe convertirse en parte
  112. sustancial de tu vida. Si logras convertirte en un buen hacker siempre piensa en a quien decir algo, y ten 
  113.  presente que tus llamadas y correos electronicos pueden ser monitoreados. Lee y memoriza la seccion pasada. 
  114.  
  115.  Si lo anterior no te ha ayudado, entonces piensa en lo que te pasaria si te encontraran culpable de "invasion a
  116. propiedad privada" y todas esas porquerias legales. ¿Estara tu novia contigo? ¿Quieres ver a tus padres llorar?
  117. ¿Quieres verte expulsado de la escuela/universidad/trabajo? 
  118.  
  119.  ¡No le des NINGUNA oportunidad a esto de que pase! 
  120.  
  121.   Si todo esto no te motiva para protegerte: 
  122.   ¡DEJA YA DE HACKEAR! 
  123.   Eres un peligro a toda la sociedad de hackers y para tus amigos ! 
  124.  
  125.    * Permanece Paranoico * 
  126.  
  127.  Espero hayas entendido la razon para ser paranoico. Asi que permanece paranoico. Un error o un momento de
  128. pereza puede ser suficiente para arruinar tu vida o carrera. 
  129.  
  130.    Siempre recuerda la motivacion para hacerlo. 
  131.   
  132.                                III. LO BASICO
  133.  
  134.    * Prefacio * 
  135.  
  136.  Tu debes saber esto y practicarlo antes de empezar con tu primer hack.  Existen los absolutamente basicos y sin
  137. saberlos estaras en problemas pronto. 
  138.  
  139.    * ASEGURATE * 
  140.  
  141.      ¿Que tal si un administrador lee tu correo? 
  142.      ¿Que tal si tus llamadas son grabadas por la policia? 
  143.      ¿Que pasaria si la policia te quita tu computadora con toda la 
  144.      informacion sobre tus hackings en ella? 
  145.  
  146.  Si no recibes correo sospechoso, no hablas de hack/phreak por el telefono y no tienes archivos sensitivos en tu
  147. disco entonces no tienes de que preocuparte. Pero eres un hacker. 
  148.  Cualquier hacker necesita estar en contacto con otros y guardar sus datos en algun lugar. 
  149.  
  150.  ¡Encripta la informacion que sea sensitiva! 
  151.  Los encriptadores de disco duro son muy importantes y utiles:  Hay algunos encriptadores muy buenos
  152. disponibles en Internet como los    que mencionare: 
  153.  
  154.       - Si tienes MsDos obten SFS v1.17 o SecureDrive 1.4b 
  155.       - Si tienes Amiga obten EnigmaII v.1.5 
  156.       - Si usas Unix obten CFS v1.33 
  157.  
  158.   Encriptadores de Archivos: Puedes usar cualquiera, pero debe usar uno de los  bien conocidos y seguros
  159. algoritmos. NUNCA uses un programa de encripcion que pueda ser exportado por que la efectividad de la
  160. lengitud de sus llaves es limitada! 
  161.  
  162.           - Blowfish Advanced 95 (Anti-Tempest, Blowfish32, Idea, Des, etc.) 
  163.           - Triple DES 
  164.           - IDEA 
  165.           - Blowfish (32 rounds) 
  166.  
  167.   ¡Encripta tu correo electronico! 
  168.           - PGP v2.6.x es el mas usado asi que usalo tu tambien. 
  169.      Encripta tus llamadas telefonicas si quieres discutir cosas importantes. 
  170.           -PGPFONE es muy bueno. 
  171.           -Nautilus v1.5a es uno de los mejores. 
  172.      Encripta tus sesiones de terminal cuando te conectes a un sistema UNIX. 
  173.      Alguien puede estar haciendo sniffing, o monitoreando tu linea. 
  174.           - SSH es el mas seguro. 
  175.           - DES-Login es bastante bueno. 
  176.  
  177.  Usa fuertes passwords que no puedan ser adivinados y que no sean mencionados en ningun diccionario. Ellos
  178. deben ser al hazar pero facil de recordar para ti. Si la llave puede ser mayor de 10 caracteres, usa esa y escoge una
  179. sentencia de un libro ligeramente modificada. 
  180.  Encripta los numeros telefonicos de tus amigos dos veces. Y llamales desde telefonos publicos/oficina/etc. solo
  181. si no encriptas la llamada. 
  182.  
  183.  El principiante solo necesita PGP, un encriptor de archivos y un encriptor de disco duro. Si estas realmente
  184. hundido en el hacking como nosotros recuerda encriptar TODO. 
  185.  
  186.  Realiza un respaldo de tu informacion (Zip-Drive, otro disco duro, CD, Tape) encriptada desde luego y guardala
  187. donde no pueda encontrarse relacion con equipo de computadoras o contigo. En caso de incendio o que lleguen
  188. a tu casa a quitarte tus datos no tendras que empesar de cero. 
  189.  
  190.  Manten solo las necesarias notas escritas mientras las necesites. No mas tiempo. Guardarlas encriptadas es
  191. mucho mas seguro. Quema los papeles cuando ya no los necesites. Tu puedes crear notas con un algoritmo de
  192. encripcion que solo tu conozcas, no le digas a nadie de tu algoritmo y no lo uses para textos largos por que
  193. puede ser facilmente analizado y quebrado. 
  194.  
  195.  Los verdaderamente ultra-extremadamente-archi-super paranoicos deben considerar tambien el proyecto
  196. TEMPEST. Policias, espias y hackers pueden monitorear todas tus acciones. Una persona bien equipada puede
  197. obtener 
  198.  *TODO* lo que quiera : La emanacion de pulsos electronicos pueden ser obtenidos a mas de 100 metros de
  199. distancia y muestran la pantalla de tu monitor a cualquier persona, un apuntador laser a traves de tu ventana
  200. podria escuchar tus conversaciones y un identificador de señales de alta frecuencia podria marcar todas las teclas
  201. que alguien presiona .... Las posibilidades de este ataque son infinitas y aparatos como los jammers
  202. (interruptores) de se±ales electronicas estan en el mercado para prevenir que seas una victima de un ataque de
  203. este tipo. 
  204.  
  205.    * TU PROPIA CUENTA * 
  206.  
  207.  Ahora vamos hablar de tu cuenta propia. Esta es tu cuenta real que obtuviste en tu
  208. escuela/universidad/trabajo/proveedor y esta asociada con tu nombre. Nunca olvides seguir estas reglas cuando
  209. uses tu cuenta: 
  210.  
  211.  Nunca hagas algo ilegal o sospechoso con tu cuenta real. Ni siquiera hagas Telnet a un host para hackear de tu
  212. cuenta. 
  213.  Leer las listas de correo sobre seguridad usando tu cuenta esta bien. Pero *TODO* lo que *PAREZCA* que
  214. tenga que ver con hacking debera estar encriptado o borrado. 
  215.  Nunca dejes/salves herramientas para hackear en el espacio de tu cuenta. Si puedes usa POP3 para conectarte al
  216. servidor de correo y obtener+borrar tu correo (o realizalo de otra manera si tienes experiencia en UNIX) Nunca
  217. proporciones tu direccion verdadera de email si tu nombre esta en ella o en el espacio de informacion (GECO) de
  218. cada usuario. Has saber tu verdadera direccion solo a personas que puedas confiar y que esten concientes de la
  219. seguridad por que si los agarran a ellos tu podrias ser el siguiente. 
  220.  Si vas a usar tu cuenta para intercambiar informacion asegurate de usar PGP ya que los administradores tienden a
  221. ser un poco espias (metiches). Nunca uses tu cuenta de una manera que muestre que tienes interes en hacking. El
  222. interes en la seguridad es OK pero nada mas. 
  223.  
  224.    * LOS REGISTROS * 
  225.  
  226.  En la mayoria de los sistemas existen 3 archivos de registro importantes: 
  227.           WTMP - Todas las entradas/salidas mas tty y host. 
  228.           UTMP - Quien esta en linea en el momento. 
  229.           LASTLOG - De donde vinieron los logins. 
  230.  
  231.  Existen otros, pero esos seran discutidos en la seccion avanzada. Todos los logins via telnet, ftp, rlogin y en
  232. algunos otros sistemas rsh son escritos a estos logs. Es MUY importante que te borres de estos archivos si estas
  233. hackeando por que de otra manera: 
  234.  
  235.           a) pueden ver desde donde hiciste el hacking 
  236.           b) desde que host llegaste 
  237.           c) sabran cuanto tiempo estuviste en linea y calcularan el impacto 
  238.  
  239.  ¡NUNCA BORRES LOS LOGS! Es la forma mas facil de mostrar a el administrador que un hacker estuvo en la
  240. maquina. Obten un buen programa para modificarlos. ZAP -RareGaZz #3- (o ZAP2) es mencionado como el mejor
  241. - pero no lo es. Lo 
  242.  unico que hace es sobre escribir la informacion de la ultima persona que entro con ceros. CERT ya saco un
  243. simple programa que checa por esos ceros en los logs asi que esa es una forma facil de revelar la presencia de un
  244. hacker tambien. De nada sirve hackear R00T si cuando se de cuenta el admin todo tu trabajo no servira de nada! 
  245.  Otra cosa importante de ZAP es que no funciona si no encuentra los archivos con los registros; asi que ¡checa
  246. los paths antes de compilar! 
  247. Obten un programa que CAMBIE la informacion (CLOAK2) o uno bueno que BORRE 
  248.  la entrada (CLEAR). 
  249.  
  250.  Normalmente uno debe ser r00t para modificar los registros. Pero si no lograste hackear el r00t ¿que puedes
  251. hacer? No mucho: 
  252.  Has un rlogin a la computadora en la que estes, para a±adir un nuevo y no sospechoso LASTLOG que sera
  253. mostrado al administrador cuando entre la proxima vez. Asi el no se pondra nervioso cuando vea "localhost".
  254. Muchas distribuciones de UNIX tienen un Bug con el comando Login. Cuando lo ejecutas sobre escribe el campo
  255. login en UTMP (¡El que muestra el host de donde vienes!) con tu tty. 
  256.  
  257.      Los registros por default estan localizados en estos directorios: 
  258.  
  259.      UTMP : /etc o /var/adm o /usr/adm o /usr/var/adm o /var/log 
  260.      WTMP : /etc o /var/adm o /usr/adm o /usr/var/adm o /var/log 
  261.      LASTLOG :  /usr/var/adm o /usr/adm o /var/adm o /var/log 
  262.  
  263.    * NO DEJES HUELLA * 
  264.  
  265.  Varios hackers se borran de los logs pero se olvidan de borrar otras cosas como archivos en /tmp y $HOME 
  266.  
  267.  Shells 
  268.  Algunas shells dejan un archivo de registro(dependiendo de la configuracion) con todos los comandos que el
  269. usuario usa. Eso es muy malo para un hacker. La mejor alternativa es empezar un nuevo shell como tu primer
  270. comando despues de entrar y checar cada vez por un archivo de historia en tu $HOME. 
  271.  
  272. Archivos de historia de comandos: 
  273.  
  274.        Shell - Archivo 
  275.         sh  : .sh_history 
  276.         csh : .history   <--- Cincos, Telnor, Microsol, Compunet, orca.etc.. 
  277.         ksh : .sh_history 
  278.         bash: .bash_history 
  279.         zsh : .history 
  280.  
  281.      En otras palabras: ejecuta "ls -altr" antes de irte! 
  282.  
  283.      Aqui hay 4 comandos csh que borraran el archivo .history cuando salgas del sistema para no dejar huella. 
  284.  
  285.           mv .logout save.1 
  286.           echo rm .history>.logout 
  287.           echo rm .logout>>.logout 
  288.           echo mv save.1 .logout>>.logout 
  289.   
  290.  
  291.    * COSAS QUE DEBES EVITAR * 
  292.  
  293.  No rompas passwords en otras maquinas que no sea la propia, y desde luego hazlo en un disco encriptado. Nota
  294. que tambien puedes encriptar una particion de tu disco unicamente. 
  295.  Si tratas de romper passwords en la universidad por ejemplo y el r00t observa el proceso no solo tu cuenta es
  296. historia sino tambien el sitio de  donde es el archivo con los passwords. 
  297.  Obten el passwd (en estos dias el shadow :-) y crackealo en una segunda computadora o en un proceso
  298. background. Tu no necesitas muchas cuentas de un sitio, solo unas pocas. 
  299.  
  300.  Si ejecutas programas importante como ypx, iss, satan o programas para explotar sistemas renombralos antes de
  301. ejecutarlos. Y desde luego no uses parametros en la linea de comandos si el programa soporta modo interactivo
  302. como telnet. 
  303.  Escribe "telnet" y abre "open target.host.com" ... que no mostrara el host objetivo en el proceso como parametro.
  304.  
  305.  Si hackeas algun sistema no pongas una shell suid en ningun lado! Es mejor tratar de instalar algunas puertas
  306. traseras como ping, quota o login y usar fix para corregir el atime y mtime de el archivo si no tienes otra
  307. posibilidad. 
  308.   
  309.                             IV. Tecnicas Avanzadas
  310.  
  311.    * PREFACIO * 
  312.  
  313.  Una vez que hayas instalado tu primer sniffer y comienzes a hackear por el mundo entero entonces debes saber
  314. estas tecnicas. 
  315.  
  316.    * PREVIENE QUE TE LOCALICEN * 
  317.  
  318.  En ocasiones tus hacks seran notados. Eso no es ningun problema real si el operador del sistema no esta
  319. interesado en perseguir los hackers que jueguen con su sistema, pero si se deciden a encontrarte entonces
  320. empiezan los problemas. 
  321.  
  322.  Este corto capitulo te explicara todas las posibilidades que ELLOS tienen para encontrarte y que posibilidades
  323. tienes tu de prevenir eso. 
  324.  
  325.  * Normalmente *no* sera problema para el administrador identificar a el hacker del sistema si: 
  326.  
  327.  1) checan las entradas del registro si el hacker fue peresozo. 
  328.  2) si el hacker tiene instalado un sniffer checando el output que este produce donde aparecera informacion del
  329. hacker. 
  330.  3) si usan software de auditoria como loginlog 
  331.  4) usando el comando "netstat" cuando el hacker se encuentre en linea. 
  332.  
  333.  Debes esperar que un operador de sistemas se entere de tu procedencia, es eso por lo que necesitas un servidor
  334. gateway. 
  335.  
  336.  * Un gateway entre los dos - ¿Que es eso? 
  337.  Es un servidor como KillerBot los mencionoen el numero 3 de la revista "condon" en donde tengas acceso root
  338. para alterar los archivos wtmp y lastlog. 
  339.  
  340.  * El servidor origen del ataque * 
  341.  Desde este servidor haras tu hacking. Telnet (o mejor: remsh/rsh) a una maquina gateway y luego al objetivo. 
  342.  Necesitas acceso root para cambiar los logs. 
  343.  Necesitaras cambiar el servidor desde que hackeas cada 2-4 semanas. 
  344.  
  345.  * Tu acceso Dial-Up a Internet * 
  346.  Este es el punto mas critico. Una vez que hayan localizado la maquina que usas para accesar a Internet estas
  347. frito. 
  348.  Tu *NO* necesitas ser r00t en un host que uses para entrar a Internet. Como a estos te conectas via modem ahi
  349. no existen logs que deban ser modificados. Deberas usar una cuenta diferente para entrar a el host cada dia, y
  350. tratar de usar aquellas que son mas usadas. 
  351.  No modifiques el sistema de ninguna manera. Necesitas tener por lo menos 2 host para accesar a Internet y
  352. cambiarlos cada 
  353.  mes o dos. 
  354.  
  355.  # Conclusion: Si tu hackeas otras cosas que universidades entonces necesitas 
  356.    hacerlo de esta forma! Aqui esta un esquema para ayudarte ;-) 
  357.  
  358.   +-------+     ~--------------->     +-------------+     +-----------+ 
  359.   |+-----+|     > Un metodo para>     |Uno de por lo|     |Un servidor| 
  360.   || TU  || --> > hacer segura  > --> |menos 3 hosts| --> |desde donde| 
  361.   |+-----+|     > la llamada.   >     |de proteccion|     |hackear.   | 
  362.   +-------+     ~--------------->     +-------------+     +-----------+ 
  363.                                                                 | 
  364.                                                                 | 
  365.                                                                 v 
  366.                                            +--------+     +-------------+ 
  367.                                            |   EL   |     |Un servidor  | 
  368.                                            |OBJETIVO| <-- |hackeado como| 
  369.                                            |        |     | gateway     | 
  370.                                            +--------+     +-------------+ 
  371.  
  372.    * 3. Encuentra y manipula los registros * 
  373.  
  374.  Es importante que encuentres todos los archivos de registro - hasta los escondidos. Para encontrar todos los
  375. tipos de registros existen dos faciles posibilidades. 
  376.  
  377.  1) Encuentra todos los archivos abiertos. 
  378.     Como todos los archivos de registro deben ser escritos en algun lado,    obten el programa LSOF - LiSt Open
  379. Files - para verlos ... checalos ...    y si es necesario corrigelos. 
  380.  
  381.  2) Busca todos los archivos modificados despues de que entraste. Despues de que entres a un sistema usa el
  382. comando "touch /tmp/check" despues trabaja.    Luego usa el comando "find / -newer /tmp/check -print" y revisa
  383. si alguno de esos archivos son de auditoria. observa>revisa>corrige. 
  384.     Nota que no todos los sistemas y versiones soportan la opcion -newer 
  385.     Tu tambien puedes hacer un "find / -ctime 0 -print" o 
  386.     "find / -cmin 0 -print" para encontrar los registros. 
  387.  
  388.      Revisa todos los registros que encuentres. Normalmente los registros estaran en /usr/adm, /var/adm o /var/log.
  389.  
  390.      Si cosas se registran a @loghost entonces estas en problemas. Tu necesitas hackear la maquina loghost para
  391. modificar los logs. 
  392.  
  393.  Para manipular los logs puedes hacer "grep -v", o un conteo de lineas con  wc, y luego cortar las 10 ultimas con
  394. "head -LineNumbersMinus10" o usar un editor etc. 
  395.  Si los archivos de registro/auditoria no son archivos de texto sino de datos identifica el software que escribe los
  396. registros. Despues consigue el codigo fuente. Despues encuentra el encabezado que defina la estructura del
  397. archivo. 
  398.  Obten zap, clear, cloak etc. y re-programa los codigos con los encabezados del archivo a usar con este tipo
  399. especial de archivos de registro (y despues pasalo a la comunidad del hacking). 
  400.  
  401.  Si un programa de auditoria esta instalado necesitaras el acct-cleaner de zhart, funciona muy bien! 
  402.  
  403.  Un peque±o truco para modificar wtmp es necesario si no puedes compilar ningun codigo fuente, perl, etc.
  404. Funciona en sistemas Sun pero no en Linux: 
  405.  Has uuencode de wtmp. Ejecuta vi, ve al final del archivo y borra las ultimas 4 lineas que comienzen con "M" ...
  406. despues salvalo y sal., uudecode y las ultimas 5 entradas al wtmp estaran borradas ;-) 
  407.  
  408.  Si el sistema usa wtmpx y utmpx entonces estas en problemas ... Hasta ahora  no conozco ningun programa que
  409. pueda modificarlos. 
  410.  
  411.    * 4. Checa la configuracion syslog y el archivo * 
  412.  
  413.  La mayoria de los programas usan syslog para registrar lo que quieren. Es importante revisar la configuracion
  414. donde syslog imprimira los mensajes. 
  415.  
  416.  El archivo de configuracion es /etc/syslog.conf - la descripcion de cada entrada en ese archivo NO seran
  417. explicadas en este texto. Lee algun otro archivo que trate ese tema en especial ;-). Los tipos de archivos y
  418. entradas importantes son kern.*, auth.* y authpriv.* 
  419.  
  420.  Fijate donde se escriben esos archivos: los archivos pueden ser modificados. Si han sido mandados a otro
  421. servidor deberas hackear ese tambien. Si los mensajes son enviados a un usuario, tty y/o consola puedes hacer
  422. un peque±o truco para generar falsos mensajes de registro como ""echo 17:04 12-05-85 kernel sendmail[243]: can't
  423. resolve bla.bla.com > /dev/console" o cualquier consola que quieras inundar para que el mensaje que desees
  424. esconder simplemente se esconda entre los demas. 
  425.  Los archivos de registro son *MUY* importantes! Revisalos. 
  426.  
  427.    * Revisa los programas de seguridad instalados * 
  428.  
  429.  En los sitios conscientes de seguridad, existen algunos chequeadores de seguridad que son ejecutados por cron.
  430. El directorio normal para los crontabs son /var/spool/cron/contabs Revisa todas las entradas, especialmente las
  431. de el archivo "root" y examina los archivos que ejecuta. Para una investigacion rapida de los crontabs del root
  432. escribe "crontab -l root". 
  433.  
  434.  Algunas de estas herramientas de seguridad son instaladas por las cuentas administrativas. Algunas de ellas
  435. (peque±as utilidades para revisar wtmp, y si un sniffer esta instalado) estan en ~/bin. 
  436.  Lee abajo para identificar estos admins y revisar sus directorios. 
  437.  
  438.  El software de chequeo interno puede ser tiger, cops, spi, tripwire, l5,  binaudit, hobgoblin, s3 etc. 
  439.  
  440.  Debes examinar lo que reportan y si ellos reportan algo eso seria un signo de alerta de tus hacks. 
  441.  Si ese software reporta acciones sospechosas puedes: 
  442.      - Actualizar los archivos de datos del programa (modo aprendizaje) para 
  443.        que no reporte ese tipo de ataques. 
  444.      - Reprogramar/modificar el software para que no reporten las acciones 
  445.        sospechosas. 
  446.  
  447.    * 6. Checa los admins * 
  448.  
  449.  Es importante para ti que revises las medidas que los sysops toman si es que las toman. - asi que primero
  450. necesitas saber las cuentas que normalmente utilizan. 
  451.  Puedes revisar el archivo .forward de root y revisar la entrada alias del root. Tambien revisa el archivo passwd
  452. por "admin" para que revele a los administradores. 
  453.  
  454.  Ahora debes saber los 1-6 administradores en las maquinas que esten. Cambia los directorios (usa chid.c,
  455. changeid.c o algun script similar para convertirte en ese usuario si el root no tiene derechos a leer cada archivo) 
  456.  y revisa sus archivos .history/.sh_history/.bash_history para ver que comandos usan. Checa sus archivos
  457. .profile/.login/.bash_profile para ver que alias tienen en sus chequeos de seguridad. Examina sus directorios 
  458.  ~/bin! La mayoria del tiempo los programas de seguridad son puestos en ese directorio! Y desde luego echa un
  459. vistazo a cada directorio que ellos tengan con el comando "ls-alR ~/". 
  460.  
  461.  Si encuentras programas de seguridad, lee 5.) para las posibilidades de  sobrepasar esas protecciones. 
  462.  
  463.    * 7. Como "corregir" el software de verificacion checksum * 
  464.  
  465.  Algunos administradores le temen a los hackers e instalan software para detectar cambios en sus valiosos
  466. binarios. Si un binario es modificado, la proxima vez que el administrador haga un chequeo sera detectado. 
  467.  
  468.  Asi que como necesitas saber ¿como puedes a)encontrar que chequeadores de binarios estan instalados y b)
  469. como modificarlos para que puedas plantar un caballo de troya? 
  470.  
  471.  Nota que existen muchos chequeadores de archivos binarios y que es muy facil escribir alguno - toma 15 minutos
  472. - y puede ser realizado con un peque±o script. Asi que es dificil encontrar este tipo de software si es que esta
  473. instalado. 
  474.  Estos son algunos de los programas mas usados: 
  475.  
  476.  SOFTWARE : PATH STANDARD : NOMBRE DE LOS ARCHIVOS BINARIOS 
  477.      tripwire : /usr/adm/tcheck, /usr/local/adm/tcheck : databases, tripwire 
  478.      binaudit : /usr/local/adm/audit : auditscan 
  479.      hobgoblin : ~user/bin : hobgoblin 
  480.      raudit : ~user/bin : raudit.pl 
  481.      l5 : directorio para compilar : l5 
  482.  
  483.  Como puedes ver hay demasiadas posibilidades! El software o base de datos podria estar en un disco no
  484. montado en el sistema o en una particion de otro host. O la base de datos con los checksums podria estar en un
  485. medio protegido fisicamente. En el caso de que encuentres un sistema de seguridad de este tipo lo mejor es no
  486. modificar los archivos binarios. 
  487.  
  488.    * 8. Trucos de seguridad * 
  489.  Esto es una cosa rara de hacer y solo es necesario revisar para hacer un buen trabajo. Algunos usuarios,
  490. llamados administradores y hackers, usualmente no quieren que sus cuentas sean usadas por otras personas. Es
  491. por eso que ponen 
  492.  seguridad en sus archivos de inicio. Asi que revisa todos los archivos de puntos (.profile, .cshrc, .login,  .logout
  493. etc.) y que comandos ejecutan, que registros tienen y cual es  el path de busqueda establecido. Si por ejemplo
  494. $HOME/bin viene antes de  /bin en el path de busqueda deberas revisar los contenidos de ese directorio  ...
  495. quizas exista un programa llamado "ls" o "w" instalado que registra la  ejecucion antes de ejecutar el verdadero
  496. programa. 
  497.  
  498.  Tambien revisa automaticamente los archivos wtmp y lastlog para ver si ha sido ejecutado zap, si han sido
  499. manipulados los archivos .rhosts y .Xauthority, sniffers activos, etc. 
  500.  
  501.  ¡Nunca te metas con cuentas que un 'Mago' de unix este usando! 
  502.  
  503.    * 9. Miscelanea * 
  504.  
  505.  Estas son algunas cosas en las que debes poner atencion. 
  506.  
  507.  Los clientes Telnet viejos exportan la variable USER. Un administrador que conozca eso y modifique el telnetd
  508. puede obtener todos los nombres de usuario e identificar desde que cuenta estas hackeando cuanto se de cuenta
  509. de tu presencia. 
  510.  Los nuevos clientes han sido arreglados - pero el administrador inteligente tiene otras formas de localizarte: las
  511. variables UID, MAIL y HOME son exportadas y hacen la identificacion de la cuenta usada por el hacker 
  512. facilmente. Antes de hacer un telnet, cambia las variables USER, UID, MAIL y HOME, quizas hasta la variable
  513. PWD si estas en el directorio Home. 
  514.  
  515.  En los sistemas HP-UX <v10 puedes crear directorios escondidos. No estoy hablando acerca de los archivos de
  516. punto . o similares sino de un atributo. HP introdujo esta opcion en la version 9 pero fue removida en la 10
  517. (debido a que era usada solo por hackers ;-). Si haces un "chmod +H directorio" es  invisible a el comando "ls
  518. -al". Para ver los directorios escondidos  necesitas usar el switch -H ejemplo: "ls -alH" 
  519.  Cuando necesites modificar la fecha de un archivo recuerda que usando el comando "touch" puedes cambiar el
  520. atime y mtime. 
  521.  
  522.  Si instalas un sniffer y es un sistema importante, entonces necesitas asegurarte de ofuscar la salida (output) del
  523. sniffer (con un algoritmo de encripcion o dejar que el sniffer envie toda la informacion capturada por via icmp o
  524. udp a un host externo bajo tu control). ¿Por que? Si el administrador del sistema se entera del sniffer (cpm y otro
  525. software checando por sniffers) no podran identificar en el archivo de registro que informacion fue obtenida, asi
  526. que no podra avisar a otros hosts sobre tu presencia. 
  527.   
  528.   
  529.                              V. BAJO SOSPECHA
  530.  Una vez que estes bajo sospecha (policia o algun administrador) tu deberas tomar acciones especiales para que
  531. no tengan evidencia en contra tuya. 
  532.  
  533.  NOTA: Si los administradores de algun sistema piensan que eres un hacker, ERES CULPABLE HASTA
  534. DEMOSTRAR TU INOCENCIA 
  535.  
  536.  Las leyes no significan nada a los administradores (a veces pienso que la diferencia entre un hacker y un
  537. administrador es que solo la computadora pertenece a ellos). Cuando ellos piensen que eres un hackers, eres
  538. culpable si no tienes un abogado que hable por ti. Ellos tendran que monitorear tu e-mail, archivos y si son lo
  539. suficientemente buenos, las teclas que presiones  tambien. 
  540.  
  541.  Cuando la policia esta involucrada, tu linea telefonica puede ser monitoreada tambien y una emboscada puede
  542. venir pronto. 
  543.  
  544.  Si te das cuenta o temes que estes bajo sospecha entonces manten un perfil bajo! No accion ofensiva debe ser
  545. tomada que apunte al hacking. 
  546.  
  547.  La mejor cosa es esperar por lo menos 1 o 2 meses sin hacer nada. Avisa a tus amigos que no envien correo, si el
  548. correo que recibes esta encriptado con PGP solo alertaras a los administradores. Recuerda encriptar toda tu
  549. informacion sensitiva y remover todos los papeles con informacion sobre cuentas, numeros telefonicos, etc. Esas
  550. son las cosas mas importantes que los administradores y policias buscaran cuando entren a  tu casa. 
  551.   
  552.                                VI. DETENIDO
  553.  
  554.  Ahora hablaremos de las cosas que debes y no debes hacer cuando la policia  te visite. Hay dos cosas *muy*
  555. importantes que debes hacer: 
  556.  1) ¡ OBTEN UN ABOGADO INMEDIATAMENTE ! 
  557.     El abogado debe llamar al juez y apelar a la orden de cateo. Esto no ayuda mucho pero puede interrumpir su
  558. trabajo. El abogado debe decirte todo lo que los policias tienen derecho a hacer y que no.   El abogado debe
  559. escribir una carta a el juez solicitando las computadoras que te hayan sido confiscadas de regreso tan rapido
  560. como sea posible por tu necesidad urgente de hacer negocios, etc. 
  561.  
  562.   2) ¡ NUNCA HABLES CON LOS POLICIAS ! 
  563.     Los policias no pueden prometerte nada. Si te dicen que saldras del problema si hablas no confies! Solo el juez
  564. tiene el poder de hacer esto.  Los policias solo quieren que les digas informacion que pueda ser usada en contra
  565. tuya. 
  566.     Siempre deberas negarte a ofrecer evidencia (passwords,etc) y diles que hablen contigo a traves de tu
  567. abogado. 
  568.   
  569.  
  570.  Entonces debes hacer un plan con tu abogado para salir del problema sin da±o o reducirlo. 
  571.  
  572.  ¡POR FAVOR! ten en cuenta esto: no traiciones a tus amigos. No les digas ningun secreto. 
  573.  Si lo haces sera un boomerang: tus ex-amigos se enojaran y se vengaran, y aquellos que seran atrapados por tu
  574. culpa tambien hablaran ... y daran a la policia mas informacion acerca de *tus* crimenes. 
  575.  
  576.  Pregunta si en tu pais pueden forzarte a abrir tu caja fuerte, si este es el caso entonces debes negar tener
  577. archivos encriptados. 
  578.   
  579.                               VII. PROGRAMAS
  580.  
  581.  Esta es una pequeña lista de los programas que deberas obtener y usar. 
  582.  No preguntes donde puedes conseguirlos, necesitas encontrarlos. 
  583.  
  584.  Primero un pequeño Glosario: 
  585.  
  586.          Cambiar - Cambiar campos del archivo de registro por lo que quieras. 
  587.          Borrar  - Elimina las entradas que desees. 
  588.          Editar  - Un editor para el archivo de registro. 
  589.   Sobre-Escribir - Sobre-escribe las entradas con valores de zero bytes. 
  590.  
  591.                           Modificadores de Registro 
  592.                           ~~~~~~~~~~~~~~~~~~~~~~~~~ 
  593.      ah-1_0b.tar  Cambia las entradas de los programas de auditoria. 
  594.      clear.c      Borra las entradas en utmp, wtmp, lastlog y wtmpx 
  595.      cloak2.c     Cambia las entradas en utmp, wtmp y lastlog 
  596.      invisible.c  Sobre-escribe utmp, wtmp y lastlog con valores predefinidos, 
  597.                   asi que es mejor que zap. 
  598.      marryv11.c   Edita utmp, wtmp, lastlog e informacion de auditoria -Mejor! 
  599.      wzap.c       Borra las entradas en wtmp 
  600.      wtmped.c     Borra las entradas en wtmp 
  601.      zap.c        Sobre-escribe utmp, wtmp, lastlog - Puede ser detectado! 
  602.   
  603.   
  604.                Por: CrackSmoker -Lider actual del grupo RdK-
  605.                               Para: RareGaZz
  606.