首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

Linux系统账户后门及排查

系统账户后门是一种最为简单有效的权限维持方式。攻击者在获取目标系统权限的前提下,通过创建一个系统账户作为持久化的据点,这样可以随时通过工具连接到目标系统,达到对目标主机进行长久控制的目的。...,攻击者和目标系统可以进行数据交互,就可以根据系统反馈的提示信息创建系统账户和设置登录口令。...系统账户的口令。...`openssl passwd -1 -salt 'salt' 123456` test -o -u 0 -g root -G root -s /bin/bash -d /home/test 查询当前Linux...系统隐藏的系统账户后门,可以通过查询/etc/passwd文件中的新增的潜藏用户,也可以通过awk指令查询uid=0和uid>=500的用户名,如图3-1-2 awk指令查询用户名。

2.4K20

Vim 后门 | Linux 后门系列

, Centos 以及 Rocky Linux 等没有这个文件,甚至系统级配置文件位置都不同 根据 /etc/vim/vimrc 中注释描述,将所有系统侧配置文件都放置在 /usr/share/vim/...删除掉刚刚配置 $VIMRUNTIME 的内容,采用 Linux 环境变量的方式进行配置 果然,$VIMRUNTIME 是从 Linux 操作系统的环境变量来的 因此永久修改 VIMRUNTIME...不一定会修改 runtimepath ,只有通过Linux 操作系统环境变量来永久修改 VIMRUNTIME 时才会修改 runtimepath 的值,通过vim系统配置文件的方式永久修改 3) runtimepath...是否可以通过环境变量设置 可以看到并没有什么影响,因此 runtimepath 的值并不是来自于 Linux 操作系统环境变量 4) runtimepath 是否可以通过配置文件修改 从结果可以看出...制作后门文件 1) 下载源代码 在相同版本的 Linux 主机 B 上下载相同版本 vim 源代码 在主机B上编辑更新源,取消 deb-src 的注释 在主机 B 上下载 vim 源代码(可以指定版本

64351
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    sudo 后门Linux 后门系列

    sudo 经常被用来将普通用户权限提升至 root 权限,代替 root 执行部分程序来管理 Linux 系统,这样避免 root 密码被泄漏 这篇文章介绍了三种利用其留后门的方法,其中也涉及一个sudo...有趣的特性,在极端条件下可能是系统的薄弱点;同时涉及一个没什么人关注的小知识点 sudo 配置后门 sudoedit 文件所有者后门 sudo plugin 后门 这篇文章以 Ubuntu Server...,该需求相应的配置文件为 /etc/sudoers 以及 /etc/sudoers.d/ 目录下的文件 随着操作系统版本迭代,很多应用程序都将配置文件分为两部分,主配置文件以及主配置文件加载的配置文件...echo '123456' | sudo -S cat /etc/passwd 可以考虑搞新建 空白文件名 文件 + alias 劫持的方法来隐藏新建文件 有时候也没必要新建用户,可以尝试开启那些系统用户试试...,或许有惊喜也说不定,但是这种操作一定要提前试一试 0x02 sudoedit 文件所有者后门 这个后门更偏向于一个概念性的后门,以趣味性为主吧 前段时间复现 CVE-2023-22809 的时候关注到

    39610

    修改后门ctime | Linux 后门系列

    0x00 前情提要 在 alias 后门Linux 后门系列一文中,我们为了让后门完美一些,修改了后门文件的 atime、mtime,但是 ctime 一直没有办法修改,今天我们来把这一块补齐,...让后门更加完美 atime -> access time, 访问时间 mtime -> modify time,修改时间 ctime -> change time, 状态变化时间 最新版 Linux 中多了一个属性...所以可以查看 stat 的源代码,看一下 stat 应用是如何获取和管理 ctime 的,针对其调用的方法进行系统性地修改应该也是可以实现修改文件 ctime 的 0x03 系统时钟与硬件时钟 Linux...时间系统分为系统时钟和硬件时钟,系统时钟存在于Linux 内核中,而硬件时钟存在于硬件主板上 从两种时钟的命名上可以看出,硬件时钟肯定是要比系统时钟更加持久,毕竟系统时钟系统关机就没了嘛 硬件时钟靠着...详细知识可以查看鸟哥的网站 http://cn.linux.vbird.org/linux_server/0440ntp.php 查看系统时钟 date 查看硬件时钟 sudo hwclock --show

    5.7K20

    LD_PRELOAD 后门 | Linux 后门系列

    加固后门 正常大家检查是否存在 LD_PRELOAD 后门的时候都是直接 echo $LD_PRELOAD ?...查看原命令设置后门后显示什么样 alias 劫持一下显示,让设置后的显示与设置前一致 千万记得先去看一下是否系统默认或者管理员设置过这个命令的别名,参照之前的 ls 劫持 alias ,让 alias...设置的别名不显示 劫持 unalias ,让系统管理员无法直接用 unalias 命令来取消 alias 等别名 先来 echo 没有设置后门时是这样的 ?...成功劫持 export 没有设置后门时候是这样的 ? 设置后门后是这样的 ?...劫持成功 现在我们来进行验证后门还好用吗 ? 可以看到后门可以使用,那么现在我们来看一下以上各种方法还能否看见我们做的手脚 ? 完美!

    7.4K20

    MOTD 后门引发的思考 | Linux 后门系列

    最近看了苑房弘老师的打靶课程,发现了 MOTD 这个东西,于是研究了一下,发现很适合做后门,早在08年以前就有恶意软件使用了这种方式,今天系统地研究一下 motd,全称Message Of The Day...,是Linux中发送问候消息的功能,一般在我们登录服务器后显示 每次任意用户登录时都会触发motd服务的功能,这个功能的脚本几乎都是使用root 权限来启动的,所以很适合用来做后门 实用部分 随着关注我们的朋友越来越多...root权限 留后门 这个目录下的所有文件在任意用户登录后都会执行一遍,所以我们可以选择新建一个脚本或者修改其中的脚本来完成留后门的目的 以 00-header 文件为例 #!...服务的具体配置文件了,这里涉及一个启动文件 /etc/update-motd.d/50-motd-news 这个文件在 /etc/update-motd.d/目录下,也就是刚才我们放置恶意脚本的地方 具体关于系统服务相关的知识可以查看...- Linux 命令搜索引擎 https://wangchujiang.com/linux-command/c/trap.html # Construct a user agent, similar to

    7.7K00

    Linux入侵检测工具 - RKHunter

    RKHunter是Linux系统平台下的一款开源入侵检测工具 特点 (1)安装便捷,运行快速 (2)扫描范围全,能够检测各种已知的rootkit特征码、端口扫描、常用程序文件的变动情况检查 主要功能...(1)MD5校验测试,检测任何文件是否改动 (2)检测rootkits使用的二进制和系统工具文件 (3)检测木马程序的特征码 (4)检测大多常用程序的文件异常属性 (5)扫描任何混杂模式下的接口和后门程序常用的端口...Warning 警告,就需要你对这些问题进行处理了 rkhunter是通过自己的数据库来检查的,所以保持数据库最新非常重要,更新数据库的命令: # rkhunter --update 最好加入到系统的定时任务中

    5K71

    Linux后门整理合集

    UnixBash 远控后门 简介 利用 Unix/Linux 自带的 Bash 和 Crond 实现远控功能,保持反弹上线到公网机器。...nc -vv -lp 53 Linux/Unix 藏文件和文件夹 Linux/Unix 下想藏 Webshell 或者后门什么的,可以利用一下隐藏文件夹和文件。 方法一 比如创建一个名字开头带 ....利用方法 useradd -o -u 0 backdoor Linux/Unix 修改文件时间戳 简介 Unix 下藏后门必须要修改时间,否则很容易被发现,直接利用touch就可以了。...系统环境: dawg:~# uname -a Linux dawg 2.4.20-1-386 #3 Sat Mar 22 12:11:40 EST 2003 i686 GNU/Linux SUID shell...PAM最初是集成在Solaris中,目前已移植到其它系统中,如Linux、SunOS、HP-UX9.0等。 搭建PAM后门主要思路:pam_unix_auth.c打补丁安装到正常的PAM模块中。

    2K80

    Linux渗透之Shellshock后门

    注入式攻击”也就是可以向 bash注入一段命令,从bash1.14到4.3都存在这样的漏洞; 漏洞编号:CVE-2014-6271 详细情况:Bash(GNU Bourne-Again Shell)是大多数Linux...系统以及Mac OS X v10.4默认的shell,它能运行于大多数Unix风格的操作系统之上,甚至被移植到了Microsoft Windows上的Cygwin系统中,以实现windows的POSIX...Bash其广泛的使用将意味全球至少 150 万的主机将受到影响,此外 Linux/Unix 世界内的安卓和苹果都难以幸免。...4.3以及之前的版本在处理某些构造的环境变量时存在安全漏洞,向环境变量值内的函数定义后添加多余的字符串会触发此漏洞,攻击者可利用此漏洞改变或绕过环境限制,以执行任意的shell命令,甚至完全控制目标系统...洪水攻击 ●UDP (DoS Flood) 对目标服务器进行UDP洪水攻击 ●TCP (DoS Flood) 对目标服务器进行TCP洪水攻击 ●KILLATTK 通过接受服务器发来的进程列表,通过kill系统调用杀掉指定的进程

    1.8K00

    Linux渗透之Shellshock后门

    注入式攻击”也就是可以向 bash注入一段命令,从bash1.14到4.3都存在这样的漏洞; 漏洞编号:CVE-2014-6271 详细情况:Bash(GNU Bourne-Again Shell)是大多数Linux...系统以及Mac OS X v10.4默认的shell,它能运行于大多数Unix风格的操作系统之上,甚至被移植到了Microsoft Windows上的Cygwin系统中,以实现windows的POSIX...Bash其广泛的使用将意味全球至少 150 万的主机将受到影响,此外 Linux/Unix 世界内的安卓和苹果都难以幸免。...4.3以及之前的版本在处理某些构造的环境变量时存在安全漏洞,向环境变量值内的函数定义后添加多余的字符串会触发此漏洞,攻击者可利用此漏洞改变或绕过环境限制,以执行任意的shell命令,甚至完全控制目标系统...洪水攻击 ●UDP (DoS Flood) 对目标服务器进行UDP洪水攻击 ●TCP (DoS Flood) 对目标服务器进行TCP洪水攻击 ●KILLATTK 通过接受服务器发来的进程列表,通过kill系统调用杀掉指定的进程

    1.3K20
    领券