जबकि GNU/Linux एक अत्यधिक सुरक्षित ऑपरेटिंग सिस्टम है, कई लोग झूठी सुरक्षा की भावना में फंस जाते हैं। उनके पास गलत विचार है कि कुछ भी कभी नहीं हो सकता क्योंकि वे एक सुरक्षित वातावरण से काम कर रहे हैं। यह सच है कि लिनक्स वातावरण के लिए बहुत कम मैलवेयर मौजूद है, लेकिन यह अभी भी बहुत संभव है कि लिनक्स इंस्टॉलेशन अंततः समझौता किया जा सकता है। यदि और कुछ नहीं, तो रूटकिट और अन्य समान हमलों की संभावना पर विचार करना सिस्टम एडमिनिस्ट्रेशन का एक महत्वपूर्ण हिस्सा है। एक रूटकिट टूल्स के एक सेट को संदर्भित करता है जिसका उपयोग एक तीसरा पक्ष तब करता है जब वे एक कंप्यूटर सिस्टम तक पहुंच प्राप्त करते हैं जिसका उनके पास सही अधिकार नहीं है। इस किट का उपयोग तब सही उपयोगकर्ताओं के ज्ञान के बिना फाइलों को संशोधित करने के लिए किया जा सकता है। Unhide पैकेज ऐसे समझौता किए गए सॉफ़्टवेयर को जल्दी से ढूंढने के लिए आवश्यक तकनीक प्रदान करता है।
Unhide अधिकांश प्रमुख लिनक्स डिस्ट्रीब्यूशन के रिपॉजिटरी में है। sudo apt-get install unhide जैसे पैकेज मैनेजर कमांड का उपयोग डेबियन और उबंटू के फ्लेवर पर इसे इंस्टॉल करने के लिए पर्याप्त है। GUI एक्सेस वाले सर्वर Synaptic Package Manager का उपयोग कर सकते हैं। Fedora और Arch डिस्ट्रीब्यूशन के अपने पैकेज मैनेजमेंट सिस्टम के लिए Unhide के प्री-बिल्ट वर्जन हैं। एक बार Unhide इंस्टॉल हो जाने पर, सिस्टम एडमिनिस्ट्रेटर को इसका उपयोग कई अलग-अलग तरीकों से करने में सक्षम होना चाहिए।
विधि 1: प्रोसेस ID को ब्रूटफोर्स करना
सबसे बुनियादी तकनीक में प्रत्येक प्रोसेस ID को ब्रूटफोर्स करना शामिल है ताकि यह सुनिश्चित किया जा सके कि उनमें से कोई भी यूजर से छिपा नहीं है। जब तक आपके पास रूट एक्सेस नहीं है, CLI प्रॉम्प्ट पर sudo unhide brute -d टाइप करें। -d विकल्प रिपोर्ट किए गए फाल्स पॉजिटिव की संख्या को कम करने के लिए टेस्ट को दोगुना करता है।
आउटपुट बेहद बुनियादी है। एक कॉपीराइट संदेश के बाद, unhide उन जांचों की व्याख्या करेगा जो यह करता है। एक लाइन होगी जिसमें लिखा होगा:
[*]Starting scanning using brute force against PIDS with fork()
और दूसरी जिसमें लिखा होगा:
[*]Starting scanning using brute force against PIDS with pthread functions
यदि कोई अन्य आउटपुट नहीं है, तो चिंता का कोई कारण नहीं है। यदि प्रोग्राम की ब्रूट सबरूटीन कुछ भी ढूंढती है, तो यह ऐसा कुछ रिपोर्ट करेगी:
Found HIDDEN PID: 0000
चार शून्य को एक वैध नंबर से बदल दिया जाएगा। यदि यह केवल यह पढ़ता है कि यह एक ट्रांजिटरी प्रोसेस है, तो यह एक फाल्स पॉजिटिव हो सकता है। टेस्ट को कई बार चलाने के लिए स्वतंत्र महसूस करें जब तक कि यह एक साफ परिणाम प्रदान न करे। यदि आगे की जानकारी है, तो यह अनुवर्ती जांच की गारंटी दे सकती है। यदि आपको लॉग की आवश्यकता है तो आप करंट डायरेक्टरी में लॉग फाइल बनाने के लिए -f स्विच का उपयोग कर सकते हैं। प्रोग्राम के नए संस्करण इस फाइल को unhide-linux.log कहते हैं, और इसमें प्लेन टेक्स्ट आउटपुट होता है।
विधि 2: /proc और /bin/ps की तुलना करना
आप इसके बजाय unhide को /bin/ps और /proc प्रोसेस सूचियों की तुलना करने का निर्देश दे सकते हैं ताकि यह सुनिश्चित हो सके कि यूनिक्स फाइल ट्री में ये दो अलग-अलग सूचियां मेल खाती हैं। यदि कुछ गड़बड़ है, तो प्रोग्राम असामान्य PID रिपोर्ट करेगा। यूनिक्स नियमों के अनुसार रनिंग प्रोसेस को इन दो सूचियों में ID नंबर प्रस्तुत करने होंगे। टेस्ट शुरू करने के लिए sudo unhide proc -v टाइप करें। -v जोड़ने से प्रोग्राम वर्बोज मोड में आ जाएगा।
यह विधि एक प्रॉम्प्ट लौटाएगी जिसमें लिखा होगा:
[*]Searching for Hidden processes through /proc stat scanning
यदि कुछ असामान्य होता है, तो यह टेक्स्ट की इस लाइन के बाद दिखाई देगा।
विधि 3: Proc और Procfs तकनीकों को संयोजित करना
यदि आवश्यक हो तो आप वास्तव में /bin/ps और /proc यूनिक्स फाइल ट्री सूचियों की तुलना कर सकते हैं जबकि /bin/ps सूची से सभी जानकारी की तुलना वर्चुअल procfs एंट्री से भी कर रहे हैं। यह यूनिक्स फाइल ट्री नियमों के साथ-साथ procfs डेटा दोनों की जांच करता है। इस टेस्ट को करने के लिए sudo unhide procall -v टाइप करें, जिसमें काफी समय लग सकता है क्योंकि इसे सभी /proc स्टैट को स्कैन करना होगा साथ ही कई अन्य टेस्ट भी करने होंगे। यह सुनिश्चित करने का एक उत्कृष्ट तरीका है कि सर्वर पर सब कुछ ठीक है।
विधि 4: procfs परिणामों की /bin/ps के साथ तुलना करना
पिछले टेस्ट अधिकांश एप्लिकेशन के लिए बहुत शामिल हैं, लेकिन आप कुछ शीघ्रता के लिए proc फाइल सिस्टम जांच को स्वतंत्र रूप से चला सकते हैं। sudo unhide procfs -m टाइप करें, जो इन जांचों के साथ-साथ -m को जोड़कर प्रदान की गई कई और जांचों को करेगा।
यह अभी भी एक काफी शामिल टेस्ट है, और इसमें एक पल लग सकता है। यह आउटपुट की तीन अलग-अलग लाइनें लौटाता है:
ध्यान रखें कि आप इनमें से किसी भी टेस्ट के साथ -f जोड़कर एक पूर्ण लॉग बना सकते हैं।
विधि 5: क्विक स्कैन चलाना
यदि आपको केवल गहन जांच से खुद को चिंतित किए बिना एक क्विक स्कैन चलाने की आवश्यकता है, तो बस sudo unhide quick टाइप करें, जो नाम के अनुसार तेजी से चलना चाहिए। यह तकनीक proc सूचियों के साथ-साथ proc फाइल सिस्टम को स्कैन करती है। यह /bin/ps से एकत्र की गई जानकारी की तुलना सिस्टम संसाधनों के कॉल द्वारा प्रदान की गई जानकारी के साथ करने वाली जांच भी चलाती है। यह आउटपुट की एक सिंगल लाइन प्रदान करता है, लेकिन दुर्भाग्य से फाल्स पॉजिटिव का जोखिम बढ़ाता है। पिछले परिणामों की समीक्षा करने के बाद डबल-चेक करने के लिए यह उपयोगी है।
आउटपुट इस प्रकार है:
[*]Searching for Hidden processes through comparison of results of system calls, proc, dir and ps
इस स्कैन को चलाने के बाद आप कई ट्रांजिटरी प्रोसेस आते हुए देख सकते हैं।
विधि 6: रिवर्स स्कैन चलाना
रूटकिट को सूंघने के लिए एक उत्कृष्ट तकनीक में सभी ps थ्रेड्स का सत्यापन शामिल है। यदि आप CLI प्रॉम्प्ट पर ps कमांड चलाते हैं, तो आप टर्मिनल से चलाई गई कमांड की सूची देख सकते हैं। रिवर्स स्कैनिंग सत्यापित करता है कि ps इमेज द्वारा प्रदर्शित प्रत्येक प्रोसेसर थ्रेड वैध सिस्टम कॉल प्रदर्शित करते हैं और procfs लिस्टिंग में देखे जा सकते हैं। यह यह सुनिश्चित करने का एक शानदार तरीका है कि रूटकिट ने कुछ मार नहीं डाला है। बस इस चेक को चलाने के लिए sudo unhide reverse टाइप करें। यह अत्यंत तेजी से चलना चाहिए। जब यह चलता है, तो प्रोग्राम को आपको सूचित करना चाहिए कि यह नकली प्रोसेस की तलाश कर रहा है।
विधि 7: /bin/ps की सिस्टम कॉल के साथ तुलना करना
अंत में सबसे व्यापक जांच में /bin/ps लिस्टिंग से सभी जानकारी की तुलना वैध सिस्टम कॉल से ली गई जानकारी के साथ शामिल है। इस टेस्ट को शुरू करने के लिए sudo unhide sys टाइप करें। यह दूसरों की तुलना में चलने में अधिक समय लेगा। चूंकि यह आउटपुट की इतनी सारी अलग-अलग लाइनें प्रदान करता है, आप इसे वापस देखने के लिए आसान बनाने के लिए -f log-to-file कमांड का उपयोग करना चाह सकते हैं।
लेखक के बारे में
केविन एरोज़
केविन एरोज़ एक अत्यधिक अनुभवी और जानकार प्रौद्योगिकी विशेषज्ञ हैं जिनके पास एक दशक से अधिक का उद्योग अनुभव है। उनके पास माइक्रोसॉफ्ट सर्टिफाइड टेक्नोलॉजी स्पेशलिस्ट (MCTS) प्रमाणन है और नवीनतम तकनीकी विकास पर अपडेट रहने का गहरा जुनून है। केविन ने तकनीक से संबंधित विषयों की एक विस्तृत श्रृंखला पर व्यापक रूप से लिखा है, जिसमें सॉफ़्टवेयर विकास, साइबर सुरक्षा और क्लाउड कंप्यूटिंग जैसे क्षेत्रों में उनकी विशेषज्ञता और ज्ञान का प्रदर्शन होता है। तकनीकी क्षेत्र में उनके योगदान को उनके साथियों द्वारा व्यापक रूप से मान्यता प्राप्त और सम्मानित किया गया है, और उन्हें जटिल तकनीकी अवधारणाओं को स्पष्ट और संक्षिप्त तरीके से समझाने की उनकी क्षमता के लिए उच्च माना जाता है।
