入侵者已经拿到了主机的管理员权限，请你列举几种留后门的方法：（windows和LINUX系统均可）...

Webshell后门 
XSS后门 
远控后门&rootit（windows&LINUX) 
SSH后门 
SHIFT终端服务器后门 
系统用户账号克隆 
SQL数据库扩展存储型后门 
SQL数据库沙盒模式后门 
Oralce/mysql自定义函数 
Oralce的特权用户 
文件捆绑型后门 
下载系统用户密码HASH到本地进行破解 
IIS/Tomcat/WEBLOGIC/APACHE应用型后门 
键盘记录 
.... 
后面的继续，HEHE

收藏 感谢(0)

分享到：0

32 个回复

1. 1. 
      1#哲璇 (<小学结业生>)  | 2015-09-25 08:57

      机房钥匙
      随时给你断电

   2. 
      2#鬼五 (此鬼五非彼鬼五)  | 2015-09-25 09:14

      mysql开启外链

   3. 
      3#感谢(1)HackBraid  | 2015-09-25 10:04

      涨姿势了

   4. 
      4#我是壮丁 (专业打酱油)  | 2015-09-25 10:15

      pam后门

   5. 
      5#伟大娃娃 (٩[·̮̃·̃]۶٩[·̮̃·̃]۶)  | 2015-09-25 10:22

      当然是记录管理员一切的密码,然后收集TA的爱好和习惯,之后伪装成异性获得TA的心.

   6. 
      6#小葵 (百度CDN是个什么鸟，一抓就挂)  | 2015-09-25 10:46

      我重装系统，你又有什么卵用。

   7. 
      7#刘海哥 (‮moc.ghuil.www)  | 2015-09-25 11:02

      rootit是什么东西

   8. 
      8#%230CC (Who's Your Daddy ---lordi)  | 2015-09-25 11:27

      @小葵 你楼上已经是你女朋友了。。。重装意义不是很大。。。

   9. 
      9#小葵 (百度CDN是个什么鸟，一抓就挂)  | 2015-09-25 12:01

      @%230CC 66666

   10. 
       10#鬼五 (此鬼五非彼鬼五)  | 2015-09-25 12:05

       知道一些资料后 伪装成机房技术人员 加 服务器所有者的QQ 告诉他 您是XXXip的客户吗？ 我是您的服务器的技术客服 有问题随时联系 当然得告诉他点服务器里某个东西的某个情况 让他增加对你的信任 然后当他服务器出现问题找你解决的时候（没出现问题 可以制造点问题） 你可以问他服务器密码多少 他是肯定会告诉你的.........................................

   11. 
       11#小城  | 2015-09-25 12:47

       isapi

   12. 
       12#sin (寻找最优雅的解决方案)  | 2015-09-25 14:25

       提权或者root后清理所有痕迹，但有流量记录就懵逼。
       
       然后，留个webshell，尽量融入正常业务那种。
       比如:
       .net反编译后，dll添加映射型后门，话说也有的可以rootkit. 
       java类型反编译正常jar后，添加servlet后门。

   13. 
       13#Master (小菜一枚)  | 2015-09-25 14:52

       webdav

   14. 
       14#Evi1cg (感觉自己萌萌哒)  | 2015-09-25 15:18

       计划任务
       MOF
       DLL劫持

   15. 
       15#Mujj (为何我的眼中饱含泪水？因为我装逼装的深沉)  | 2015-09-26 00:00

       只保存了下IPMI的密码。

   16. 
       16#诚殷的小白帽 (一心只日大学站，回报当年不录取恩)  | 2015-09-26 09:30

       你们说的都没叼用。劳资木马伪装到网站备份包，网站文件夹，免杀做起来，除非你一个一个找那个文件，文件修改日期一变，你咋找木马？找网马后门？

   17. 
       17#xsser (十根阳具有长短!!)  | 2015-09-26 13:31

       把后门放到数据里 ：）

   18. 
       18#K4r1iNNg (]'or 1#)  | 2015-09-26 13:42

       循环写shell orz

   19. 
       19#newline  | 2015-09-26 13:58

       透露自己的方法的时候一定要小心， 说不定什么时候就给了别人检测定位的依据了。

   20. 
       20#我了个去  | 2015-09-26 14:05

       @newline 对头 ：）

   21. 
       21#BeenQuiver  | 2015-09-26 21:33

       能给出具体的命令或者代码就更好啦

   22. 
       22#_Evil (科普是一种公益行为)  | 2015-09-27 10:04

       我说下WIN:
              最关键是要签名,驱动签名没问题了就是装马的了.(针对服务器Win2008以上) 签名弄好了NDIS端口复用也就解决了.
       
              iis6.0-iis7.5 用iis filter功能能留个"端口复用"
       
              结合yuange这个[link href="http://blog.sina.com.cn/s/blog_85e506df0102vo9s.html"]Unicode[/link]留个后门
       
              attrib加个隐藏文件,dir等命令看不到的.
       
              Windows很多DLL.在system32目录下找一个然后替换,属性更改一下.
       
              WebShell的话最好还是用:一个正常文件(包含一个二进制合并图片) php的就见得多了。 jsp
       
              @sin 这个哥们说的java类型反编译正常jar后，添加servlet后门。这个我倒是没有试过,但是得重启吧? 就像Apache  rootme这个一样。针对版本修改,然后重启. 不成功就惨了...

   23. 
       23#_Evil (科普是一种公益行为)  | 2015-09-27 10:05

       NFS格式也可以阿..... mof对于个人机好使,但是不能确保免杀性. 传统操作下powershell就足够了.

   24. 
       24#_Evil (科普是一种公益行为)  | 2015-09-27 10:17

       Linux:
            内核 代码不会不往这方面走.
       
            有root后:
                查看.bash_history,snmpd.conf,ps aux,netstat -anlvop,lsof -i,iptables -L,iptables -nL,iptables -t nat -nL
       
                知道管理员操作习惯和有什么防护设备.
       
                每次操作完 sed,grep 清除WEB容器的日志.(注意MS-DOS换行符)
                
                登陆ssh的话用xiaoyu的logtamper
       
                mysql Linux下也可以udf提权,我没有折腾过找到更好的. 各路大神来续集...
       
                oracle加个dba用户,存储过程什么的.
       
                mysqldump jsp-db2分页脱裤 jsp-wget分页脱裤 asp(后台执行)脱裤

   25. 
       25#三好学生 (：)  | 2015-09-28 08:24

       @_Evil mof调用wmi定时启动不能确保免杀性 具体是什么意思呢？
       .net remoting也很好玩，估计没多少人用~

   26. 
       26#_Evil (科普是一种公益行为)  | 2015-09-28 08:58

       @三好学生 mof调用wmi定时启动 .net remoting 这两个还真没试过,长见识了 有空折腾下 thanks.

   27. 
       27#erevus  | 2015-09-30 10:18

       可以尝试代码审计把shell插到数据库里

   28. 
       28#火日攻天  | 2015-10-11 20:14

       @小葵 写到硬盘固件里呢

   29. 
       29#J4nker  | 2015-10-13 23:36

       mof调用wmi定时启动 这个没有痕迹，很适合做后门，http://drops.wooyun.org/tips/8260

   30. 
       30#南哥 (<///>)  | 2015-10-16 12:06

       把他服务器上的程序全部看一遍，自己写一套一模一样的程序，然后故意留几个自己知道的漏洞即可。

   31. 
       31#南哥 (<///>)  | 2015-10-16 12:08

       @南哥 覆盖他程序后，自己以后想再次拿就轻松的多。

   32. 
       32#笔墨 (好人一生平胸)  | 2015-10-17 09:05

       at 00:00 /every:M,T,W,Th,F,S,Su net user guest p4ssw0rd
at 00:00 /every:M,T,W,Th,F,S,Su net user guest /active:yes
at 00:00 /every:M,T,W,Th,F,S,Su net localgroup administrators guest /add

   33. 
       33#r00tgrok  | 2015-12-06 10:14

       Google:  Many ways of malware persistence (that you were always afraid to ask)
       Google: Thousand ways to backdoor a Windows domain (forest)

转载于:https://www.cnblogs.com/dongchi/p/5095108.html