Мы будем рассматривать образы honeypot с системой Red Had 6.2 Linux, которая была взломана 7 ноября 2000 года путем нападения на rpc.statd. 8 ноября 2000 года образы взломанной honeypot были восстановлены, как это описано в предыдущей главе, а затем установлены в раздел /mnt доверенной системы Linux для дальнейшего анализа. После этого образы взломанной honeypot выглядели в доверяемой системе так, как показано далее. Обратите внимание на то, что swap не установлен. Swap это не действительная файловая система, и потому читается и анализируется отдельно, как массив данных.
/forensics/images/honeypot.hda8.dd on /mnt type ext2 (ro, noexec,nodev,
loop=/dev/loopO)
/forensics/images/honeypot.hdai.dd on /mnt/boot type ext2 (ro, noexec,nodev,
Ioop=/dev/loop1) /forensics/images/honeypot.hda6.dd on /mnt/home type ext2 (ro, noexec,nodev,
Ioop=/dev/loop2) /forensics/images/honeypot.hda5.dd on /mnt/usr type ext2 (ro, noexec, nodev,
Ioop=/dev/loop3) /forensics/images/honeypot.hda7.dd on /mnt/var type ext2 (ro, noexec,nodev,
Ioop=/dev/loop4)
После установки в режиме только для чтения образы были готовы к анализу.
