伪装在系统PAM配置文件中的同形异义字后门

0x00. 前言

受到FreeBuf早前相关同形异体字攻击文章的启发,故有此文。

目前主流的Linux发行版本都支持Unicode,这也给了利用同形异义字迷惑系统管理员的后门有了可乘之机。 本文通过案例描绘此类漏洞是如何实现的。

0x01. 同形异义字后门案例

我们看一下 ssh 的 pam 认证模块

注意第一行 @ include common-auth

我们再看一下 common-auth

注意红框圈的那一行

auth    [success=1 default=ignore]    pam_unix.so nullok_secure

pam_unix.so 是用于校验用户的的账户和密码是否正确,如果账号密码正确,则直接返回,不执行下一行,否则执行下一行。

auth    requisite            pam_deոy.so

关于 requisite 的含义解释如下:

因为 pam_deny.so 模块会返回失败, 加上这行的控制标记是requisite,所以系统会直接拒绝用户登录。

我们知道与 pam_deny.so 模块对应的就是 pam_permit.so , 如果我们能把

auth    requisite            pam_deոy.so

更改为

auth    requisite            pam_permit.so

则任意密码都可以登录成功,但这里也有个问题

pam_permit.so 很容易被管理员发现啊,毕竟pam_permit.so 和pam_deny.so 看起来就不一样嘛

所以这里要用到本文所述Unicode 的同形异义字来将pam_permit.so 伪装起来,使其看起来像pam_deny.so

1、先把 pam_deny.so 备份

2、然后利用 Unicode 同形异义字 将 pam_permit.so 伪装成 pam_deny.so

root@kali:~# cp /lib/x86_64-linux-gnu/security/pam_permit.so /lib/x86_64-linux-gnu/security/pam_de$'\u578'y.so

伪装后的 pam_deոy.so , 红圈所示, 不留心仔细观察,很难分辨真伪

3、然后修改 /etc/pam.d/common-auth 中的 pam_deny.so 为 伪装的pam_deոy.so

 root@kali:~# perl -i -pe's/deny/de\x{578}y/' /etc/pam.d/common-auth

查看一下修改后的common_auth (红框所示)

不仔细观察,不好辨真伪

4、修改后,登录测试,看看能否可以实现任意密码登录

随便输入密码

点击‘确定’

成功登录

我们看一下登录日志 ( /var/log/auth.log )

我们可以看出,虽然 pam_unix.so 认证失败,但是 最终还是登录成功(因为伪装的 pam_deոy.so 起了作用)

0x02. 总结

虽然伪装的 pam_deոy.so 和真正的 pam_deny.so 看起来一样,但实际上是不同的两个文件,要区分它也很简单, 总结以下方法:

1、直接使用 file 或者 locate 命令查看 pam_deny.so 是否存在

2、系统安装后给所有的文件做 hash, 然后对比 hash 3、查看登录日志 (比如 /var/log/auth.log ) 如果发现 pam_unix 认证失败,仍能登录成功,则必须警惕 pam_deny.so 是否已经被调包 4、如果发现任意密码均可登录,则要警惕 pam_deny.so 是否已经被调包

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2017-06-28

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏非著名程序员

Android Studio你不知道的调试技巧

? 写代码不可避免有Bug,通常情况下除了日志最直接的调试手段就是debug;那么你的调试技术停留在哪一阶段呢?仅仅是下个断点单步执行吗?或者你知道 Eval...

30910
来自专栏Ryan Miao

Git 工作流的正确打开方式

前言 一直在使用git做版本控制,也一直工作很顺利,直到和别人发生冲突的时候。这才注意到git 工作流并不是那么简单。比如,之前遇到的清理历史。百度到的资料很...

3246
来自专栏Java帮帮-微信公众号-技术文章全总结

Web-第二十天 Redis学习【悟空教程】

rpm -e --nodeps java-1.6.0-openjdk-1.6.0.0-1.66.1.13.0.el6.i686

1905
来自专栏信安之路

FeiFeiCms 前台逻辑漏洞分析

该函数直接将 post 的数据传入,则跟进ff_update函数至\Lib\Lib\Model\UserModel.class.php文件

4023
来自专栏大内老A

ASP.NET的路由系统:路由映射

总的来说,我们可以通过RouteTable的静态属性Routes得到一个基于应用的全局路由表,通过上面的介绍我们知道这是一个类型的RouteCollection...

2299
来自专栏用户2442861的专栏

初学Redis(1)——认识Redis

http://blog.csdn.net/qtyl1988/article/details/39553339

1842
来自专栏Python数据科学

Python爬虫之模拟登录wechat

不知何时,微信已经成为我们不可缺少的一部分了,我们的社交圈、关注的新闻或是公众号、还有个人信息或是隐私都被绑定在了一起。既然它这么重要,如果我们可以利用爬虫模拟...

3K2
来自专栏Seebug漏洞平台

CVE-2017-5123 漏洞利用全攻略

原文:https://salls.github.io/Linux-Kernel-CVE-2017-5123/

4097
来自专栏Golang语言社区

Golang学习--GroupCache的使用

groupcache 是 Brad Fitzpatrick 最新的作品,目标在于取代一部分memcached的功能。以官方的说明是:groupcache ...

5729
来自专栏FreeBuf

Oracle Advanced Support系统SQL注入漏洞挖掘经验分享

Oracle Advanced Support系统SQL注入漏洞分析 一年多前我在客户的一个外部环境中执行渗透测试,任何外部环境渗透测试的重要步骤之一就是挖掘出...

2977

扫码关注云+社区

领取腾讯云代金券