Linux keylogger โดยไม่รูทหรือ sudo! มันเป็นเรื่องจริงเหรอ?

ใครบางคนใน Youtube อ้างว่ามี keylogger ใน Ubuntu ที่ไม่ได้ดำเนินการหรือติดตั้งเป็นรูท ลิงค์ด้านล่างแสดงตัวอย่างของการทำงาน

http://www.youtube.com/watch?v=Y1fZAZTwyPQ

แม้จะมีการอ้างสิทธิ์ในทางตรงกันข้ามบุคคลนี้สามารถติดตั้งเป็นรูทก่อนที่จะสาธิตวิดีโอ มีหลักฐานอื่นที่น่าเชื่อถือว่าเป็นไปได้จริง ๆ โดยไม่ต้องรูทสำหรับการติดตั้งหรือการดำเนินการหรือไม่?

UPDATE: ซอฟต์แวร์ที่อ้างถึงในคำตอบ 24 มิถุนายนจะไม่ติดตั้งหากไม่มี sudo / root ฉันได้เพิ่มความโปรดปรานแก่ผู้ที่ให้ลิงก์ไปยังซอฟต์แวร์ keylogger Linux ที่ใช้งานได้ซึ่งสามารถติดตั้งและรันด้วยสิทธิ์ผู้ใช้ปกติ

ใช่มันเป็นเรื่องจริง หากคุณถูกโจมตีผ่านเบราว์เซอร์และผู้โจมตีสามารถเรียกใช้รหัสด้วยสิทธิ์ผู้ใช้ของคุณเขาสามารถลงทะเบียนโปรแกรมผ่านทาง GNOME หรือโปรแกรมเริ่มต้นอัตโนมัติแบบ KDE ซึ่งใช้โปรแกรมในการเข้าสู่ระบบ โปรแกรมใด ๆ สามารถรับรหัสสแกนของปุ่มกดใน X Window System มันแสดงให้เห็นได้อย่างง่ายดายด้วยคำสั่ง xinput ดูบล็อกโพสต์ในการแยก GUIสำหรับรายละเอียด

แนวคิดในวิดีโอนั้นเป็นของจริง 100% และรหัสนั้นง่ายมาก

ระบุรหัสคีย์บอร์ดของคุณด้วย: xinput --list

บันทึกการกดแป้นด้วย: xinput --test $id

จับคู่หมายเลขกับคีย์ด้วย: xmodmap -pke

ใช่มันเป็นไปได้
คุณสามารถทดลองใช้งานได้บนเครื่องของคุณเองด้วยซอฟต์แวร์ที่คล้ายกันLKL

ฉันไม่ได้ดูวิดีโอดังนั้นฉันจึงตอบสนองต่อความประทับใจที่ฉันได้รับเกี่ยวกับสิ่งที่อ้างจากเธรด SU แทนที่จะเป็นวิดีโอที่คุณอ้างถึง

หากผู้โจมตีสามารถเรียกใช้รหัสบนเครื่องของคุณในฐานะผู้ใช้ของคุณจากนั้นพวกเขาสามารถเข้าสู่ระบบกดปุ่มของคุณ

เอ่อ แอปพลิเคชันทั้งหมดที่คุณใช้อยู่สามารถเข้าถึงการกดปุ่มของคุณ หากคุณกำลังพิมพ์สิ่งต่าง ๆ ในเว็บเบราว์เซอร์เว็บเบราว์เซอร์ของคุณสามารถเข้าถึงการกดปุ่มของคุณ

อ่าคุณพูด แต่สิ่งที่เกี่ยวกับการเข้าสู่ระบบกดปุ่มในโปรแกรมอื่น? ตราบใดที่แอปพลิเคชันอื่นกำลังทำงานบนเซิร์ฟเวอร์ X เดียวกันพวกเขายังคงสามารถเข้าสู่ระบบได้ X11 ไม่ได้พยายามแยกแอพพลิเคชั่น - นั่นไม่ใช่งาน X11 อนุญาตให้โปรแกรมกำหนดทางลัดส่วนกลางซึ่งมีประโยชน์สำหรับวิธีการป้อนข้อมูลเพื่อกำหนดมาโคร ฯลฯ

หากผู้โจมตีสามารถเรียกใช้รหัสในฐานะผู้ใช้ของคุณเขาสามารถอ่านและแก้ไขไฟล์ของคุณและก่อให้เกิดอันตรายอื่น ๆ ได้

นี่ไม่ใช่การคุกคาม เป็นส่วนหนึ่งของความคาดหวังตามปกติของระบบการทำงาน หากคุณอนุญาตให้ผู้โจมตีเรียกใช้รหัสในเครื่องของคุณเครื่องของคุณจะไม่ปลอดภัยอีกต่อไป มันเหมือนกับว่าคุณเปิดประตูหน้าบ้านของคุณและอนุญาตให้มีฆาตกรขวานเข้ามา: ถ้าคุณแยกออกเป็นสองส่วนนั่นไม่ใช่เพราะประตูหน้าของคุณไม่ปลอดภัย

Keylogger สามารถล็อกคีย์ที่กดโดยผู้ใช้ที่ติดไวรัส (อย่างน้อยตราบใดที่ผู้ใช้ที่ติดไวรัสไม่ได้พิมพ์รหัสผ่าน sudo)

เป็นไปได้ 100% สำหรับ ttys / ptys (โหมดข้อความ) วิธีที่ง่ายที่สุดคือการเพิ่ม shim ไปยัง / bin / {ba, da, a} sh (เช่นเซ็กเมนต์. code ที่สอง RX) และเปลี่ยนจุดเริ่มต้น (มากเท่ากับ ELF ไวรัสจะ) การ จำกัด การเข้าถึงสิ่งนั้นในกรณีนี้เราสามารถแก้ไข ~ / .profile หรือ ~ / .bashrc (ฯลฯ ) เป็นแบบจำลองสมมุติได้ง่ายมาก:

exec ~ / .malicious_programme

ซึ่งอาจโหลดรหัสวัตถุที่แชร์แบบไดนามิกเพื่อซ่อนโปรแกรมที่เป็นอันตรายในคำถาม (ตัวอย่าง: อนุญาต. profile อ่านและแก้ไข แต่ซ่อนบรรทัดและ / หรือซ่อนโปรแกรม)

จากนั้นอาจใช้ระบบ UNIX98 pty (7) หรือแม้แต่ไปป์ (2) เพื่อบันทึกอินพุตทั้งหมดในเชลล์ที่มีการแยกสมมติว่า fd ไม่ได้ทำเครื่องหมาย FD_CLOEXEC และแม้แต่เปลี่ยนอินพุตผู้ใช้เป็นเชลล์

ใน X11 แม้ว่า kdm / gdm / xdm ทำงานเป็น setuid root (หรือเทียบเท่าในความสามารถ [ดู setcap (8)] หรือรูปแบบความปลอดภัยใด ๆ ที่คุณใช้หากไม่ใช่ค่าเริ่มต้น) สิ่งต่าง ๆ มีความซับซ้อนมากขึ้นอย่างเห็นได้ชัด หากใครสามารถยกระดับสิทธิพิเศษ? iopl (2) หรือ ioperm (2) ทำให้ชีวิตง่ายขึ้นด้วยการเข้าถึงพอร์ตคีย์บอร์ด 0x60 / 0x64 โดยตรงที่ x86 เนื่องจากเราสมมติว่าคุณทำไม่ได้เราจึงต้องหาเส้นทางอื่น ฉันรู้หลายอย่าง แต่ฉันไม่แน่ใจว่าคุณต้องการทำวิทยานิพนธ์เกี่ยวกับวิธีที่เป็นไปได้และอินเทอร์เฟซที่เกี่ยวข้อง

พอเพียงที่จะพูด, แหวน 3, โทรจันที่ไม่ใช่ superuser นั้นเป็นไปได้ใน * ระวังแม้กระบวนการแยกเป็นผลมาจากปัญหาต่าง ๆ (โดยเฉพาะกับ X) ที่มีการเพิ่มคุณสมบัติสำหรับ daemons โหมดผู้ใช้ให้เช่นข้อความ - รองรับการพูดสำหรับแอพทั้งหมดโดยไม่ส่งผลต่อความปลอดภัยของระบบ ฉันได้ระบุหนึ่งที่ทำงานคล้ายคลึงกับ ttysnoops (ซึ่งผ่านมานานวันหมดอายุของมัน) และมันไม่จำเป็นต้องมีราก ฉันมีโค้ดตัวอย่างสำหรับกรณีนี้ (ซึ่งจะรวมอยู่ในเทอร์มินัลใน X) แต่ฉันยังไม่ได้เผยแพร่ หากคุณต้องการข้อมูลเพิ่มเติมโปรดติดต่อฉัน

ใช่เป็นไปได้ที่จะติดตั้งซอฟต์แวร์โดยไม่ต้องใช้สิทธิ์ su หรือ sudo อย่างไรก็ตามโดยทั่วไปจะทำได้แม้ว่าการใช้ประโยชน์จากการเพิ่มระดับสิทธิประโยชน์ วิดีโอนั้นทำหน้าที่ได้ดีในความสามารถของ keylogger นั้น แต่มันก็มีรายละเอียดเล็กน้อยเกี่ยวกับการติดตั้ง keylogger อาจมีกลอุบายเล็กน้อยที่นี่ แต่เป็นการยากที่จะบอกจากวิดีโอเพียงอย่างเดียว

เพื่อวัตถุประสงค์ในการทดสอบฉันสร้าง keylogger TTY ซึ่งสามารถแนบกับ tty ของผู้ใช้แบบไดนามิกและโปรแกรมไม่จำเป็นต้องติดตั้งโดย root และสามารถใช้กับบัญชีใด ๆ เมื่อแนบแล้วมันจะบันทึกอินพุตที่ตรงกับรูปแบบที่กำหนดในบรรทัดคำสั่งเมื่อโปรแกรมเริ่มทำงาน

เป็นไปได้กับระบบเช่น Crunchbang (Debian based distro) เพียงเพิ่มสิทธิ์ให้กับไฟล์ sudoersโดยใช้ nano visudo ในเทอร์มินัลและเพิ่ม keylogger ไปยัง autostartเช่น logkeys สำหรับ Linux เช่น logkeys --start --output /home/user/.secret / log

โชคดี