[W2K] Rootkit?

[Verwijderd]

Via de Sysinternals Rootkit revealer kwam ik tegen dat een bestand draaiende onder Apache2, genaamd HTTPd.pid verborgen blijkt te zijn voor de Windows Api. Met andere woorden is dat bestand dus niet zichtbaar, en volgens die tool is deze wel 5 bytes groot. Is dit een onderdeel van Apache2 of is dit een verborgen Rootkit?

Ik kan niet echt vinden op Google of dit nu gaat om een rootkit, in de tussentijd Apache2 maar even stilgelegd. Het lijkt mij dat het een onderdeel is van Apache2, maar ook verdomd goed verborgen kan zijn als rootkit zijnde. Tips?

[bredend]

5 bytes is niet meer dan 5 karakters: 54321

Dat is het Process ID, het nummertje dat elk proces krijgt om zich van andere te onderscheiden.

Ik heb ook apache draaien, maar kom em nog niet tegen. Rootkit Revealer s nog wel bezig met 'Clearing up'.

[Verwijderd]

Hij blijft natuurlijk niet meer zichtbaar, als ik scan met Apache uit. Ik kan niet vertellen of dit een rootkit is ofniet. Ook heb ik wat registersleutels, die die scanner wel vindt, maar niet zichtbaar zijn in het registry ( duh ).

[Shuriken]

Apache is van origine Unix/Linux based. Daar wordt een pid file gebruikt of een process draait. Waarschijnlijk is dit mechanisme ook in de windows versie terecht gekomen.

Daarnaast lijken me 5 bytes sowieso niet iets om je zorgen over te maken.

[Alex)]

Apache gebruikt idd een pidfile, en dat is heel simpel te checken

Open een commandprompt (als administrator), en voer het commando 'taskkill /im apache.exe /f' uit... ga daarna naar de map waar Apache geïnstalleerd is, (C:\Program files\...\Apache\bin) en voer apache.exe uit, je krijgt een commandprompt die zegt dat httpd.pid niet is verwijderd.

Is inderdaad een overblijfsel uit de Unix/Linux-wereld.

[Verwijderd]

Das fijn om te weten. Ik heb natuurlijk bij installatie ervoor gezorgd dat alles goedstond, firewall juist geconfigureerd was, etc, en toch in mijn logs vervelende dingen vindt enzo. Er is dus nog geen spoor van inbraak, dus ik hoef me ook niet echt zorgen te maken nog.

Enig idee hoe ik losse apache-logs met een freeware-tool of website, samenpers tot een mooi grafiekje?

[Alex)]

Logs parsen kun je doen met pakketten zoals awstats of webalizer

[Verwijderd]

De ervaren gebruikers van rootkit revealer adviseren om het systeem idle te laten draaien zelfs zonder internet connectie en lopende programma's op de achtergrond (Safe mode). Dit voorkomt valse positieven.

http://forum.sysinternals.com/forum_topics.asp?FID=15