搜索

[11571] 2017-07-21_反入侵之发现后门利用mount-bind将进程和端口信息隐匿

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-07-21_反入侵之发现后门利用mount-bind将进程和端口信息隐匿 反 入 侵 之 发 现 后 门 利 用 m o u n t - b i n d 将 进 程 和 端 口 信 息 隐 匿 b g u s k o 6 3 1 9 0   F r e e B u f   2 0 1 7 - 0 7 - 2 1 0 x 0 0 .   前 言 前 言 作 为 一 名 安 全 工 程 师 ， 日 常 工 作 中 会 经 常 遇 到 网 站 遭 遇 入 侵 ， 甚 至 被 植 入 后 门 ， 如 何 去 发 现 后 门 ， 进 而 对 入 侵 作 为 一 名 安 全 工 程 师 ， 日 常 工 作 中 会 经 常 遇 到 网 站 遭 遇 入 侵 ， 甚 至 被 植 入 后 门 ， 如 何 去 发 现 后 门 ， 进 而 对 入 侵 进 行 调 查 取 证 都 是 一 名 优 秀 的 安 全 工 程 师 必 备 功 课 ， 本 文 结 合 实 际 案 例 介 绍 一 下 一 款 后 门 的 植 入 技 巧 ， 以 及 我 进 行 调 查 取 证 都 是 一 名 优 秀 的 安 全 工 程 师 必 备 功 课 ， 本 文 结 合 实 际 案 例 介 绍 一 下 一 款 后 门 的 植 入 技 巧 ， 以 及 我 是 如 何 发 现 它 的 ， 仅 此 给 大 家 一 个 参 考 ， 希 望 给 大 家 是 如 何 发 现 它 的 ， 仅 此 给 大 家 一 个 参 考 ， 希 望 给 大 家 日 后 工 作 带 来 日 后 工 作 带 来 帮 助 。 帮 助 。 0 x 0 1 .   正 文 正 文 今 天 在 蜜 罐 环 境 中 发 现 有 一 个 奇 怪 的 端 口 一 看 就 不 合 常 理 ， 没 有 进 程 名 和 进 程 I D 使 用   l s o f   - i : 3 1 3 3 7   竟 没 发 现 任 何 信 息 p s   a u x   也 没 查 到 可 疑 进 程 名 l s o f   和 p s   都 是 从 / p r o c / 进 程 i d 下 获 取 显 示 数 据 ，   难 道 是 / p r o c / 进 程 i d 被 调 包 了 ？
排 查 排 查 于 是 去 看 一 下 / p r o c   目 录 第 5 列 应 该 是 0   啊 ， 这 里 怎 么 是 4 0 9 6   ， 这 个 进 程 有 问 题 c d   2 6 9 4   目 录 看 看 ，   发 现 是 个 空 目 录 ， 这 时 可 以 确 定 2 6 9 4   这 个 进 程 有 重 大 嫌 疑 看 一 下 这 个 2 6 9 4   目 录 是 不 是 被 硬 链 接 了   ( 有 点 怀 疑 入 侵 者 使 用 了 m o u n t   — b i n d   技 巧 ) 果 然 是 硬 链 接 ， 和 我 的 猜 想 一 样 ，   八 成 是 用 了 m o u n t   — b i n d   硬 链 接 了 查 查 当 前 s h e l l 进 程 的 m o u n t i n f o ， 看 看 是 不 是 有 猫 腻 c a t   / p r o / $ / m o u n t i n f o $ $   表 示 当 前 s h e l l 进 程 的 进 程 I D
这 行 比 较 关 键 ： / t m p / e m p t y   / p r o c / 2 6 9 4   r w , r e l a t i m e   s h a r e d : 1   -   e x t 4   / d e v / s d a 1   r w , e r r o r s = r e m o u n t - r o , d a t a = o r d e r e 再 看 一 下 / t m p / e m p t y 大 小 和 / p r o / 2 6 9 4   一 样 原 来 入 侵 者 通 过   m o u n t   — b i n d   / t m p / e m p t y   / p r o c / 2 6 9 4 将 后 门 进 程 ( 2 6 9 4 )   信 息 隐 藏 起 来 了 恢 复 恢 复 知 道 后 门 进 程 被 隐 藏 之 后 ， 恢 复 也 就 比 较 简 单 了 u m o u n t   / p r o c / 2 6 9 4 / p r o / 2 6 9 4   目 录 下 的 内 容 又 出 现 了 此 时 ， 再 执 行 l s o f   - i : 3 1 3 3 7 发 现 可 以 发 现 3 1 3 3 7   端 口 的 信 息 了 来 看 看 这 个 2 6 9 4 的 进 程 到 底 是 什 么
原 来 是 n c   后 门 0 x 0 2 .   补 充 补 充 上 面 的 例 子 中 我 们 是 直 接 获 取 / p r o c / $ $ / m o u n t i n f o   的 内 容 ， 发 现 可 疑 挂 载 ， 当 然 直 接 使 用 m o u n t 命 令 也 能 发 现 可 疑 挂 载 ， 不 过 前 者 更 加 可 靠 获 取 当 前 系 统 挂 载 信 息 有 以 下 方 法 1 ） c a t   / p r o c / $ $ / m o u n t i n f o   获 取 当 前 挂 载 信 息 2 ） c a t   / p r o c / m o u n t s   （ 内 核 提 供 ，   不 易 蒙 骗 ） 3 ） 直 接 执 行 m o u n t   命 令 其 中 1 )   和 2 ） 比 较 靠 谱 3 ） 是 获 取 / e t c / m t a b   的 内 容 c p   / e t c / m t a b   . m o u n t   — b i n d   / b i n   / p r o c / [ p i d ] m v   .   / e t c / m t a b 这 样 的 话 ， 直 接 执 行 m o u n t ， 就 发 现 不 了 可 以 挂 载 ， 而 1 ） 和 2 ） 却 能 够 发 现 。 0 x 0 3 .   总 结 总 结 * * 文 本 所 介 绍 的 这 款 后 门 植 入 技 巧 相 对 比 较 简 单 ， 因 为 它 没 有 完 全 隐 藏 自 身 ， 比 如 通 过 n e t s t a t   - a n   还 是 可 以 发 现 其 部 分 行 踪 （ 因 为 n e t s t a t   不 需 要 / p r o c / p i d 下 面 的 信 息 支 撑 ） ， 更 高 级 的 后 门 ， 是 能 够 骗 过 n e t s t a t 的 ， 当 然 这 是 后 话 ， 后 续 我 会 给 大 家 介 绍 更 高 级 的 后 门 隐 匿 技 巧 。 * 本 文 作 者 ： b g u s k o 6 3 1 9 0 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理