Советы по устранению последствий от действий злоумышленников

Если вы открыли FTP-узел для анонимной загрузки файлов, гарантирую, что пройдет не больше двух недель в лучшем случае, прежде чем какой-нибудь шутник (если не несколько) начнут использовать ваш сервер для размещения порнографии или другого нежелательного содержимого. Я забыл отключить анонимный доступ, когда настраивал один из моих домашних серверов и через несколько дней на нем появилось большое количество нежелательного содержимого. Что еще хуже, мерзавцы, которые это сделали, создали поврежденную структуру каталогов, удаление которой заняло у меня несколько дней. Однако после того как я узнал, что за метод они использовали, решение стало для меня простым.

В некоторых случаях есть возможность создать папки, которые используют зарезервированные имена в качестве своих имен. К примеру, вы можете создать папку COM2 и поместить в нее все файлы, какие хотите. Однако когда вы попытаетесь удалить эту папку, Windows ХР вежливо скажет вам, что вы не можете этого сделать. Это один из способов, который используют хакеры и взломщики для размещения содержимого в системе и предотвращения удаления его обычным пользователем без форматирования тома (еще одна причина размещать ваш FTP-узел на отдельном физическом или логическом диске).

Вы можете удалить папки с зарезервированными именами, используя один из двух методов. Если папка расположена на томе NTFS, откройте командную строку и выполните команду del, указав имя папки с хотя бы одним групповым символом. Чтобы удалить, например, папку LPT2, используйте команду del LPT?.

Если папка или файл расположены на разделе NTFS, то вам понадобится другой способ. Windows 2000 и Windows ХР Resource Kit содержат инструмент RM. EXE. Это приложение POSIX, которое позволяет вам удалять папки и файлы включая те, у которых зарезервированные имена. Команда из следующего примера удалит файл с именем СОМІ из папки c:\inetpub\ftproot:

rm - d «//С/inetpub/ftproot/СОМІ»

Как видно из примера, команда POSIX использует структуру пути, отличную от той, что используется в DOS/Windows, команды POSIX являются регистре - - зависимыми, поэтому вы должны вводить путь, используя действительный регистр. К тому же, в примере предполагается, что исполнительный файл RM. EXE вы поместили в текущую папку.

Если вам нужно рекурсивно удалить все дерево папок, используйте команду, подобную следующей, заменив путь нужным путем к папке, которую вы хотите удалить:

rm - г «//C/Program Files/Арр»

Другим методом, используемым хакерами, является создание папки с пустым длинным именем. Это делает практически невозможным удаление папки даже с помощью команды rm, поскольку вы не можете использовать команду cd для перехода в папку с пустым именем. В большинстве случаев вы можете использовать команду rm для удаления всего дерева папок, но иногда может быть необходимо сохранить дерево и удалить только папку с пустым именем. Решение состоит в использовании короткого имени папок вместо длинного, чтобы удалить папку.

1. Откройте командную строку и*используйте команду cd для перехода в папку, которая содержит подпапку с пустым именем.

2. Введите dir /X, чтобы просмотреть короткие имена элементов в папке. Запомните короткое имя папки, у которой пустое длинное имя.

3. Используйте команду rm с коротким именем, чтобы удалить папку.

Последний и, наверное, самый важный совет: учтите мои рекомендации о безопасности из предыдущего раздела и не забывайте почаще следить за журналами службы FTP. Если вы обнаружите, что кто-то пытался повредить работе вашего FTP-узла, примените против него любые возможные законные меры. Если ничего больше не остается, постарайтесь оповестить провайдера удаленного пользователя, если это возможно.