از اين که هک شده ايد حس عجيب و مضحکي داريد، اما دقيقاً نمي دانيد در مرحله ي بعدي چکار کنيد. اگر مانند اکثر مردم باشيد، نمي دانيد الزاماً بايد کجا را بگرديد تا شواهدي براي به خطر افتادن سيستم تان بيابيد. حال نگاهي مي اندازيم به چند مورد از شواهد رايجتر که ممکن است پس از ايجاد عيب در سيستم پيدا کنيد.
user account هاي مشکوک مي بايست غير فعال شده و جستجو کنيم چه کسي و چرا آن را ايجاد کرده است. اگر سيستم auditing (بازرسي) بدرستي فعال شده باشد، audit log ها (ثبتهاي بازرسي) نشان خواهند داد چه کسي آنها را ايجاد نموده است. اگر بتوانيد تاريخ و زمان ايجاد account را پيدا کنيد و آن account در اثر يک هک بوجود آمده باشد، شما يک قالب زماني خواهيد داشت که مي توان در آن به جستجوي ديگر رويدادهاي audit log که ممکن است مرتبط باشد پرداخت.
به منظور اينکه متوجه شويد آيا برنامه ي مخربي ارتباطات ورودي را تحت کنترل دارد - که مي تواند به عنوان يک پورت پنهاني براي هکر استفاده شود - از ابزارهايي مانند TCPView مربوط به Sysinternals يا Fpipe مربوط به Foundstone استفاده کنيد. اين ابزارهاي ويندوز نشان مي دهند چه برنامه هايي در حال استفاده از هر يک از پورت هاي باز سيستم شما هستند. در مورد سيستمهاي يونيکس از netstat يا lsof که درون سيستم عامل قرار دارند استفاده کنيد. از آنجا که ممکن است يک هکر باهوش netstat و lsof شما را با نسخه هاي تروجاني (که پورت هاي باز شده توسط هکرها را نشان نمي دهد) جايگزين کند، بهترين کار اين است که اين سيستم قرباني را با استفاده از پورت اسکنر گمنام و رايگان nmap (از سايت insecure.org) از کامپيوتر ديگر اسکن کنيد. اين امر به شما دو ديدگاه مختلف از پورت هاي باز سيستم مي دهد.
هکري که يک سرور ويندوز را مورد حمله قرار مي دهد، ممکن است برنامه هاي اجرا شده را از طريق registry در نواحي ذيل اضافه يا جايگزين کند:
• HKLM > Software > Microsoft > Windows > CurrentVersion> Run
• HKCU > Software > Microsoft > Windows > CurrentVersion> Run
نرم افزارهاي مخرب نيز ممکن است از طريق دستورهاي اجراي سيستم عامل اجرا شود. به منظور اينکه ببينيد چه برنامه هايي در دستور اجراي يک سيستم ويندوز قرار گرفته است، به command prompt برويد و تايپ کنيد AT . در يک سيستم يونيکس از فرمان هاي cron يا crontab استفاده کنيد تا ليست فعاليت هايي را که در دستور اجرا (schedule) قرار دارند ببينيد.
هکراني که به سيستم يونيکس حمله مي کنند، ممکن است از يک root kit استفاده کنند که به آنان کمک مي کند با استفاده از يک خلأ آسيب پذيري در سيستم عامل يا برنامه هاي نصب شده، به root access دست پيدا کنند. با توجه به آن که براي هکران root kit هاي زيادي وجود دارد، تعيين اين که کدام فايل ها دستکاري شده اند بسيار مشکل است. برنامه هايي وجود دارند که به اين امر کمک مي کنند، مانند chrookit.
براي يک هکر هزاران راه ممکن وجود دارد تا ردپاي خود را بپوشاند، اما جستجو در موارد فوق شروع بسيار خوبي براي گشت و گذار شما جهت تشخيص خطرات سيستم و حملات هکرها است.
منبع:www.yadbegir.com
/س