[port139ml:03764] Re: 某書籍への突っ込み

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

おはようございます、Port139 伊原です。

昔話？に花が咲いている？？ところ恐縮ですが(^^;;

On Sun, 27 Jul 2003 10:54:20 +0900
TAKAHASHI Motonobu <monyo@xxxxxxxxxxxxxx> wrote:

>こうした場合は、通常 sash や busybox のように幾つかのコマンド機能を内
>包した専用コマンドを使うのかと思いますが。両方とも、静的リンクしても
>1FDに収まります。
>
>例えばbusyboxの場合は、以下のようなコマンド機能を内蔵してます(マニュア
>ルページより)。

不正本で想定してるのは chkrootkit 利用するコマンド群については
安全にしましょう！ということなんですが、www.chkrootkit.org に
記述されている下記を見ると、busybox ではコマンドが足りないよう
に見えます。（って自分で足せばいいのかな？）

 4. Which commands does chkrootkit use?
    The following commands are used by the chkrootkit script: 

    awk, cut, echo, egrep, find, head, id, ls, netstat, ps, strings,
    sed, uname 

あと、不正アクセス調査というか Incident Response の場合には、
侵害の可能性があるシステム上のバイナリは“危険かも”というこ
とで通常使いませんので、仮にシステム上にある ps などが静的リ
ンクされていても使えませんよね...
# 皆さんのお話からすると運用面では便利なんだと思いますが。

-- 
Port139 セミナー「不正アクセス調査」参加者募集中
https://www.port139.co.jp/seminar.htm
Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
Microsoft MVP (Security)
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/