Autopsy hex Fragment Report (ver 1.74) -------------------------------------------------------------- Fragment: 200612 Length: 4096 bytes Not allocated to any meta data structures MD5 of raw Fragment: 500f03d8cc0a5cdc9920da3071cb0f5b MD5 of hex output: 6d325178bea6d5326957187e312501b4 Image: /home/kmaster/tools/filesystem/evidence//SOTM29/192.168.1.79/images/root_honeypot Image Type: linux-ext3 Date Generated: Mon Sep 15 19:21:03 2003 Investigator: CGR -------------------------------------------------------------- 0 7f454c46 01010100 00000000 00000000 .ELF .... .... .... 16 02000300 01000000 20830408 34000000 .... .... ... 4... 32 1c230000 00000000 34002000 06002800 .#.. .... 4. . ..(. 48 1d001a00 06000000 34000000 34800408 .... .... 4... 4... 64 34800408 c0000000 c0000000 05000000 4... .... .... .... 80 04000000 03000000 f4000000 f4800408 .... .... .... .... 96 f4800408 13000000 13000000 04000000 .... .... .... .... 112 01000000 01000000 00000000 00800408 .... .... .... .... 128 00800408 04050000 04050000 05000000 .... .... .... .... 144 00100000 01000000 04050000 04950408 .... .... .... .... 160 04950408 e0000000 f8000000 06000000 .... .... .... .... 176 00100000 02000000 44050000 44950408 .... .... D... D... 192 44950408 a0000000 a0000000 06000000 D... .... .... .... 208 04000000 04000000 08010000 08810408 .... .... .... .... 224 08810408 20000000 20000000 04000000 .... ... ... .... 240 04000000 2f6c6962 2f6c642d 6c696e75 .... /lib /ld- linu 256 782e736f 2e320000 04000000 10000000 x.so .2.. .... .... 272 01000000 474e5500 00000000 02000000 .... GNU. .... .... 288 00000000 00000000 03000000 07000000 .... .... .... .... 304 01000000 05000000 04000000 00000000 .... .... .... .... 320 00000000 00000000 06000000 02000000 .... .... .... .... 336 03000000 00000000 00000000 00000000 .... .... .... .... 352 00000000 00000000 01000000 00000000 .... .... .... .... 368 00000000 20000000 1a000000 e8820408 .... ... .... .... 384 5f020000 22000000 21000000 f8820408 _... "... !... .... 400 a2000000 22000000 39000000 64840408 .... "... 9... d... 416 04000000 11000e00 48000000 08830408 .... .... H... .... 432 f1000000 12000000 5a000000 d8820408 .... .... Z... .... 448 74000000 22000000 005f5f67 6d6f6e5f t... "... .__g mon_ 464 73746172 745f5f00 6c696263 2e736f2e star t__. libc .so. 480 36007379 7374656d 005f5f64 65726567 6.sy stem .__d ereg 496 69737465 725f6672 616d655f 696e666f iste r_fr ame_ info 512 005f494f 5f737464 696e5f75 73656400 ._IO _std in_u sed. 528 5f5f6c69 62635f73 74617274 5f6d6169 __li bc_s tart _mai 544 6e005f5f 72656769 73746572 5f667261 n.__ regi ster _fra 560 6d655f69 6e666f00 474c4942 435f322e me_i nfo. GLIB C_2. 576 30000000 00000200 02000100 02000200 0... .... .... .... 592 01000100 10000000 10000000 00000000 .... .... .... .... 608 1069690d 00000200 70000000 00000000 .ii. .... p... .... 624 40950408 06010000 30950408 07060000 @... .... 0... .... 640 34950408 07020000 38950408 07030000 4... .... 8... .... 656 3c950408 07050000 5589e553 e8000000 <... .... U..S .... 672 005b81c3 83120000 83bb1c00 00000074 .[.. .... .... ...t 688 05e84a7d fbf789f6 e8e30000 00e83e01 ..J} .... .... ..>. 704 00008b5d fcc9c300 ff352895 0408ff25 ...] .... .5(. ...% 720 2c950408 00000000 ff253095 04086800 ,... .... .%0. ..h. 736 000000e9 e0ffffff ff253495 04086808 .... .... .%4. ..h. 752 000000e9 d0ffffff ff253895 04086810 .... .... .%8. ..h. 768 000000e9 c0ffffff ff253c95 04086818 .... .... .%<. ..h. 784 000000e9 b0ffffff 00000000 00000000 .... .... .... .... 800 31ed5e89 e183e4f8 50545268 2c840408 1.^. .... PTRh ,... 816 68988204 08515668 e4830408 e8c7ffff h... .QVh .... .... 832 fff49090 90909090 90909090 90909090 .... .... .... .... 848 5589e583 3d0c9504 08007538 eb0f89f6 U... =... ..u8 .... 864 8d500489 15089504 088b00ff d0a10895 .P.. .... .... .... 880 04088338 0075e9b8 f8820408 85c0740a ...8 .u.. .... ..t. 896 68109504 08e86eff ffffc705 0c950408 h... ..n. .... .... 912 01000000 c9c389f6 5589e5c9 c38d7600 .... .... U... ..v. 928 5589e5b8 d8820408 85c0740f 68e49504 U... .... ..t. h... 944 08681095 0408e81d ffffffc9 c38d7600 .h.. .... .... ..v. 960 5589e5c9 c3909090 90909090 90909090 U... .... .... .... 976 5589e568 80840408 e80bffff ff83c404 U..h .... .... .... 992 c9c389f6 5589e5e8 e4ffffff 31c0eb00 .... U... .... 1... 1008 c9c39090 90909090 90909090 90909090 .... .... .... .... 1024 5589e553 bb149504 08833d14 950408ff U..S .... ..=. .... 1040 740c8b03 ffd083c3 fc833bff 75f48b5d t... .... ..;. u..] 1056 fcc9c390 5589e5c9 c3909090 5589e553 .... U... .... U..S 1072 e8000000 005b81c3 ef100000 e80fffff .... .[.. .... .... 1088 ff8b5dfc c9c30000 00000000 00000000 ..]. .... .... .... 1104 00000000 00000000 00000000 00000000 .... .... .... .... 1120 03000000 01000200 00000000 00000000 .... .... .... .... 1136 00000000 00000000 00000000 00000000 .... .... .... .... 1152 6d762068 202f7573 722f696e 636c7564 mv h /us r/in clud 1168 652f6963 656b6579 2e68200a 206d7620 e/ic ekey .h . mv 1184 6868202f 7573722f 696e636c 7564652f hh / usr/ incl ude/ 1200 69636563 6f6e662e 68200a20 6d762068 icec onf. h . mv h 1216 6868202f 7573722f 696e636c 7564652f hh / usr/ incl ude/ 1232 69636573 6565642e 68200a20 6d762061 ices eed. h . mv a 1248 76613120 2f757372 2f62696e 2f22736d va1 /usr /bin /"sm 1264 6264202d 44220a20 22736d62 64202d44 bd - D". "smb d -D 1280 22200a00 00000000 20950408 00000000 " .. .... ... .... 1296 00000000 ffffffff 00000000 ffffffff .... .... .... .... 1312 00000000 44950408 00000000 00000000 .... D... .... .... 1328 de820408 ee820408 fe820408 0e830408 .... .... .... .... 1344 00000000 01000000 10000000 0c000000 .... .... .... .... 1360 98820408 0d000000 2c840408 04000000 .... .... ,... .... 1376 28810408 05000000 c8810408 06000000 (... .... .... .... 1392 58810408 0a000000 70000000 0b000000 X... .... p... .... 1408 10000000 15000000 00000000 03000000 .... .... .... .... 1424 24950408 02000000 20000000 14000000 $... .... ... .... 1440 11000000 17000000 78820408 11000000 .... .... x... .... 1456 70820408 12000000 08000000 13000000 p... .... .... .... 1472 08000000 feffff6f 50820408 ffffff6f .... ...o P... ...o 1488 01000000 f0ffff6f 42820408 00000000 .... ...o B... .... 1504 00000000 00000000 00009a00 28130000 .... .... .... (... 1520 07000000 64000000 44830408 00000000 .... d... D... .... 1536 64000000 44830408 24000000 3c000000 d... D... $... <... 1552 00000000 33000000 80000000 00000000 .... 3... .... .... 1568 62000000 80000000 00000000 7c000000 b... .... .... |... 1584 80000000 00000000 b0000000 80000000 .... .... .... .... 1600 00000000 e8000000 80000000 00000000 .... .... .... .... 1616 25010000 80000000 00000000 71010000 %... .... .... q... 1632 80000000 00000000 bd010000 80000000 .... .... .... .... 1648 00000000 e3010000 80000000 00000000 .... .... .... .... 1664 0d020000 80000000 00000000 33020000 .... .... .... 3... 1680 80000000 00000000 58020000 80000000 .... .... X... .... 1696 00000000 72020000 80000000 00000000 .... r... .... .... 1712 8d020000 80000000 00000000 ae020000 .... .... .... .... 1728 80000000 00000000 e7020000 80000000 .... .... .... .... 1744 00000000 0a030000 80000000 00000000 .... .... .... .... 1760 2e030000 80000000 00000000 58030000 .... .... .... X... 1776 80000000 00000000 6c030000 82000000 .... .... l... .... 1792 00000000 86030000 82000000 00000000 .... .... .... .... 1808 b8030000 a2000000 00000000 b9030000 .... .... .... .... 1824 82000000 00000000 ce030000 82000000 .... .... .... .... 1840 00000000 e0030000 82000000 00000000 .... .... .... .... 1856 f6030000 82000000 00000000 0d040000 .... .... .... .... 1872 82000000 00000000 b8030000 a2000000 .... .... .... .... 1888 00000000 b8030000 a2000000 00000000 .... .... .... .... 1904 b8030000 a2000000 00000000 21040000 .... .... .... !... 1920 82000000 00000000 b8030000 a2000000 .... .... .... .... 1936 00000000 62040000 82000000 00000000 .... b... .... .... 1952 76040000 82000000 1d960000 21040000 v... .... .... !... 1968 c2000000 00000000 89040000 80000000 .... .... .... .... 1984 00000000 d8040000 80000000 00000000 .... .... .... .... 2000 0d050000 80000000 00000000 4d050000 .... .... .... M... 2016 80000000 00000000 8a050000 80000000 .... .... .... .... 2032 00000000 c4050000 80000000 00000000 .... .... .... .... 2048 fa050000 80000000 00000000 31060000 .... .... .... 1... 2064 80000000 00000000 68060000 80000000 .... .... h... .... 2080 00000000 9a060000 82000000 00000000 .... .... .... .... 2096 af060000 82000000 283b0000 c3060000 .... .... (;.. .... 2112 80000000 00000000 21070000 80000000 .... .... !... .... 2128 00000000 67070000 80000000 00000000 .... g... .... .... 2144 87070000 80002400 00000000 b8030000 .... ..$. .... .... 2160 a2000000 00000000 b8030000 a2000000 .... .... .... .... 2176 00000000 b8030000 a2000000 00000000 .... .... .... .... 2192 b8030000 a2000000 00000000 b8030000 .... .... .... .... 2208 a2000000 00000000 b8030000 a2000000 .... .... .... .... 2224 00000000 b8030000 a2000000 00000000 .... .... .... .... 2240 a9070000 82000000 42180000 d0070000 .... .... B... .... 2256 82000000 d73f0100 21040000 82000000 .... .?.. !... .... 2272 d8040000 f8070000 8000aa00 00000000 .... .... .... .... 2288 b8030000 a2000000 00000000 0d080000 .... .... .... .... 2304 80002000 00000000 25080000 80002100 .. . .... %... ..!. 2320 00000000 3d080000 80002200 00000000 .... =... ..". .... 2336 53080000 80002300 00000000 6a080000 S... ..#. .... j... 2352 80002500 00000000 83080000 80002600 ..%. .... .... ..&. 2368 00000000 9a080000 80003100 00000000 .... .... ..1. .... 2384 b2080000 80003200 00000000 cb080000 .... ..2. .... .... 2400 80003300 00000000 e3080000 80003400 ..3. .... .... ..4. 2416 00000000 fd080000 80003500 00000000 .... .... ..5. .... 2432 16090000 80003600 00000000 30090000 .... ..6. .... 0... 2448 80003800 00000000 49090000 80003900 ..8. .... I... ..9. 2464 00000000 63090000 80003b00 00000000 .... c... ..;. .... 2480 86090000 80003d00 00000000 9e090000 .... ..=. .... .... 2496 80003e00 00000000 b6090000 80003f00 ..>. .... .... ..?. 2512 00000000 ce090000 80004000 00000000 .... .... ..@. .... 2528 e6090000 80004100 00000000 ff090000 .... ..A. .... .... 2544 80004200 00000000 190a0000 80004300 ..B. .... .... ..C. 2560 00000000 300a0000 80004400 00000000 .... 0... ..D. .... 2576 490a0000 80004500 00000000 600a0000 I... ..E. .... `... 2592 80004600 00000000 790a0000 80004700 ..F. .... y... ..G. 2608 00000000 910a0000 80004800 00000000 .... .... ..H. .... 2624 ac0a0000 80004900 00000000 c30a0000 .... ..I. .... .... 2640 80004e00 00000000 060b0000 80005100 ..N. .... .... ..Q. 2656 00000000 1f0b0000 80005200 00000000 .... .... ..R. .... 2672 390b0000 80005300 00000000 510b0000 9... ..S. .... Q... 2688 80005400 00000000 6a0b0000 80005600 ..T. .... j... ..V. 2704 00000000 830b0000 80005900 00000000 .... .... ..Y. .... 2720 9c0b0000 80006f00 00000000 e90b0000 .... ..o. .... .... 2736 80007200 00000000 000c0000 80007500 ..r. .... .... ..u. 2752 00000000 1b0c0000 80007b00 00000000 .... .... ..{. .... 2768 360c0000 80007c00 00000000 530c0000 6... ..|. .... S... 2784 80007f00 00000000 6f0c0000 80008000 .... .... o... .... 2800 00000000 8e0c0000 80008300 00000000 .... .... .... .... 2816 ab0c0000 80008400 00000000 ca0c0000 .... .... .... .... 2832 80008700 00000000 e40c0000 80008a00 .... .... .... .... 2848 00000000 ff0c0000 80008d00 00000000 .... .... .... .... 2864 1b0d0000 80008e00 00000000 380d0000 .... .... .... 8... 2880 80009100 00000000 520d0000 82000000 .... .... R... .... 2896 d6460100 860d0000 82000000 880f0000 .F.. .... .... .... 2912 ae0d0000 80000000 00000000 b8030000 .... .... .... .... 2928 a2000000 00000000 e20d0000 80000000 .... .... .... .... 2944 00000000 2b0e0000 80002200 00000000 .... +... ..". .... 2960 6a0e0000 80000000 00000000 a60e0000 j... .... .... .... 2976 80000000 00000000 dc0e0000 80000000 .... .... .... .... 2992 00000000 0e0f0000 80000000 00000000 .... .... .... .... 3008 470f0000 80003300 00000000 850f0000 G... ..3. .... .... 3024 80000000 00000000 bd0f0000 80003b00 .... .... .... ..;. 3040 00000000 d80f0000 80004200 00000000 .... .... ..B. .... 3056 13100000 80004500 00000000 30100000 .... ..E. .... 0... 3072 80000000 00000000 6e100000 80000000 .... .... n... .... 3088 00000000 9d100000 80005200 00000000 .... .... ..R. .... 3104 cb100000 80005900 00000000 0b110000 .... ..Y. .... .... 3120 80005d00 00000000 29110000 80000000 ..]. .... )... .... 3136 00000000 66110000 80000000 00000000 .... f... .... .... 3152 9a110000 80000000 00000000 dd110000 .... .... .... .... 3168 80006b00 00000000 10120000 80000000 ..k. .... .... .... 3184 00000000 50120000 80007300 00000000 .... P... ..s. .... 3200 68120000 80007800 00000000 b8030000 h... ..x. .... .... 3216 a2000000 00000000 b8030000 a2000000 .... .... .... .... 3232 00000000 21040000 82000000 110a0000 .... !... .... .... 3248 81120000 8000ff00 00000000 97120000 .... .... .... .... 3264 80001801 00000000 b8030000 a2000000 .... .... .... .... 3280 00000000 ac120000 80002300 00000000 .... .... ..#. .... 3296 c5120000 80002400 00000000 de120000 .... ..$. .... .... 3312 80002500 00000000 f8120000 80002600 ..%. .... .... ..&. 3328 00000000 b8030000 a2000000 00000000 .... .... .... .... 3344 12130000 20002200 00000000 b8030000 .... .". .... .... 3360 64000000 44830408 696e6974 2e63002f d... D... init .c./ 3376 7573722f 7372632f 62732f42 55494c44 usr/ src/ bs/B UILD 3392 2f676c69 62632f63 73752f00 67636332 /gli bc/c su/. gcc2 3408 5f636f6d 70696c65 642e0069 6e743a74 _com pile d..i nt:t 3424 28302c31 293d7228 302c3129 3b303032 (0,1 )=r( 0,1) ;002 3440 30303030 30303030 30303b30 30313737 0000 0000 00;0 0177 3456 37373737 37373737 3b006368 61723a74 7777 7777 ;.ch ar:t 3472 28302c32 293d7228 302c3229 3b303b31 (0,2 )=r( 0,2) ;0;1 3488 32373b00 6c6f6e67 20696e74 3a742830 27;. long int :t(0 3504 2c33293d 7228302c 31293b30 30323030 ,3)= r(0, 1);0 0200 3520 30303030 30303030 3b303031 37373737 0000 0000 ;001 7777 3536 37373737 37373b00 756e7369 676e6564 7777 77;. unsi gned 3552 20696e74 3a742830 2c34293d 7228302c int :t(0 ,4)= r(0, 3568 31293b30 30303030 30303030 30303030 1);0 0000 0000 0000 3584 3b303033 37373737 37373737 37373b00 ;003 7777 7777 77;. 3600 6c6f6e67 20756e73 69676e65 6420696e long uns igne d in 3616 743a7428 302c3529 3d722830 2c31293b t:t( 0,5) =r(0 ,1); 3632 30303030 30303030 30303030 303b3030 0000 0000 0000 0;00 3648 33373737 37373737 3737373b 006c6f6e 3777 7777 777; .lon 3664 67206c6f 6e672069 6e743a74 28302c36 g lo ng i nt:t (0,6 3680 293d7228 302c3129 3b303130 30303030 )=r( 0,1) ;010 0000 3696 30303030 30303030 30303030 30303030 0000 0000 0000 0000 3712 3b303737 37373737 37373737 37373737 ;077 7777 7777 7777 3728 37373737 3737373b 006c6f6e 67206c6f 7777 777; .lon g lo 3744 6e672075 6e736967 6e656420 696e743a ng u nsig ned int: 3760 7428302c 37293d72 28302c31 293b3030 t(0, 7)=r (0,1 );00 3776 30303030 30303030 3030303b 30313737 0000 0000 000; 0177 3792 37373737 37373737 37373737 37373737 7777 7777 7777 7777 3808 3737373b 0073686f 72742069 6e743a74 777; .sho rt i nt:t 3824 28302c38 293d7228 302c3829 3b2d3332 (0,8 )=r( 0,8) ;-32 3840 3736383b 33323736 373b0073 686f7274 768; 3276 7;.s hort 3856 20756e73 69676e65 6420696e 743a7428 uns igne d in t:t( 3872 302c3929 3d722830 2c39293b 303b3635 0,9) =r(0 ,9); 0;65 3888 3533353b 00736967 6e656420 63686172 535; .sig ned char 3904 3a742830 2c313029 3d722830 2c313029 :t(0 ,10) =r(0 ,10) 3920 3b2d3132 383b3132 373b0075 6e736967 ;-12 8;12 7;.u nsig 3936 6e656420 63686172 3a742830 2c313129 ned char :t(0 ,11) 3952 3d722830 2c313129 3b303b32 35353b00 =r(0 ,11) ;0;2 55;. 3968 666c6f61 743a7428 302c3132 293d7228 floa t:t( 0,12 )=r( 3984 302c3129 3b343b30 3b00646f 75626c65 0,1) ;4;0 ;.do uble 4000 3a742830 2c313329 3d722830 2c31293b :t(0 ,13) =r(0 ,1); 4016 383b303b 006c6f6e 6720646f 75626c65 8;0; .lon g do uble 4032 3a742830 2c313429 3d722830 2c31293b :t(0 ,14) =r(0 ,1); 4048 31323b30 3b00636f 6d706c65 7820696e 12;0 ;.co mple x in 4064 743a7428 302c3135 293d7338 7265616c t:t( 0,15 )=s8 real 4080 3a28302c 31292c30 2c33323b 696d6167 :(0, 1),0 ,32; imag