"这篇文档汇总了Linux系统中的两种常见持久化后门方法,分别是SSH软连接后门和利用公钥免密登录。"
在Linux环境中,黑客常常利用系统的特性来创建持久化的后门,以便在获取初步访问权限后能够长期控制服务器。本文主要介绍了两种这样的方法,针对SSH服务进行攻击。
首先,SSH软连接后门是一种巧妙的利用PAM(Pluggable Authentication Modules)认证的手段。这种方法要求SSH配置允许PAM认证。黑客将`sshd`可执行文件的软链接设置为`su`,这样在系统启动时,`sshd`会尝试从PAM配置文件夹中找到与`su`相关的配置。由于`su`通常用于切换用户,特别是切换到root用户,黑客可以通过修改PAM配置文件,例如添加`auth sufficient pam_rootok.so`,使得SSH服务接受任何密码尝试,从而实现任意用户无密码登录。要创建这个后门,可以在任意目录下建立软链接,并确保链接文件名为`su`,然后启动服务并指定监听的端口。
例如,黑客可以执行以下命令:
```bash
ln -sf /usr/sbin/sshd /usr/local/su
/usr/local/su -o port=12345
```
随后,攻击者就可以通过SSH使用任意密码登录目标系统,例如:
```bash
ssh root@1xx.1xx.1xx.1xx -p 12345
```
第二种方法是利用公钥免密登录。攻击者在自己的机器上生成SSH密钥对(`id_rsa`和`id_rsa.pub`),然后将公钥的内容复制到受害者的`~/.ssh/authorized_keys`文件中。这样,攻击者无需输入密码即可登录受害者机器。在受害者机器上,只需要将攻击者的公钥内容追加到`authorized_keys`文件中即可。这个方法虽然不是传统的后门,但可以提供无密码的远程访问,因此也是一种有效的持久化手段。
这些方法都是黑客在渗透测试或恶意活动中常用的技巧,了解并防范这些攻击手段对于系统管理员来说至关重要,因为它们能有效提升系统的安全性。为了防止此类攻击,应定期检查系统文件的完整性,尤其是关键服务的配置和认证模块,并且限制不必要的远程访问权限。