Linux内网渗透

Linux虽然没有域环境，但是当我们拿到一台Linux 系统权限，难道只进行一下提权，捕获一下敏感信息就结束了吗？显然不只是这样的。本片文章将从拿到一个Linux shell开始，介绍Linux内网渗透技术，分为容器逃逸、Linux提权、Linux信息收集、Linux隧道技术、Linux横向移动、Linux权限维持、Linux痕迹清理几个部分。

容器逃逸的应用主要是，拿到shell之后，发现是docker环境，要进一步渗透，就必须逃逸到宿主机。

容器逃逸方法见： https://www.cnblogs.com/yokan/p/16049516.html

Linux提权大概可以分为下面几种：

系统内核提权；第三方服务提权；数据库提权；密码收集提权；键盘记录提权；Suid提权；Sudo提权；反弹shell提权。

https://gtfobins.github.io/

GTFOBins是一个精心策划的Unix二进制文件列表，可以用来绕过错误配置系统中的本地安全限制。该项目收集了Unix二进制文件的合法函数，这些函数可能被滥用，以打破受限制的shell，升级或维护提升的特权，传输文件，生成绑定和反向shell，并为其他事后利用任务提供便利。需要注意的是，这不是一个漏洞列表，这里列出的程序本身并不容易受到攻击，相反，GTFOBins是一个概要，说明当您只有某些二进制文件可用时，如何获得root权限。

https://github.com/AlessandroZ/BeRoot/tree/master/Linux

BeRoot用于检查Linux和Mac OS上常见的错误配置，以找到一种方法来升级我们的特权。检查项包括GTFOBins中的二进制文件、通配符错误、suid、环境变量、NFS、sudo等等，详细可以去上面链接看。

https://github.com/DominicBreuker/pspy

Pspy是一个命令行工具，用于在不需要root权限的情况下窥探进程。它允许您在其他用户运行的命令、cron任务等执行时查看它们。该工具通关循环遍历/proc下的值来获取进程参数信息。

https://github.com/liamg/traitor

多个linux提权漏洞缝合怪。

Traitor 打包了一堆方法来利用本地错误配置和漏洞来自动提权：

在说提权之前先介绍一下基本的信息收集命令，为后续的提权做准备。

1、内核，操作系统和设备信息

2、用户和群组

3、用户和权限信息

yokan用户可以以root身份执行任意操作

4、环境信息

提示：内核漏洞提权有风险，有可能会崩溃系统。

内核漏洞是我们几乎最先想到的提权方法。通杀的内核漏洞是十分少见的，因而我们应该先对系统相关的信息进行收集，收集方法参考第一小节基础信息收集即可。

大多内核漏洞通过内核版本能很快查到

用kali自带的searchsploit来搜索exploitdb中的漏洞利用代码

SearchSploit是一个Exploit-DB的命令行搜索工具，它还允许随身携带漏洞利用数据库的副本。

介绍：https://xz.aliyun.com/t/2860

SearchSploit使用：

更新SearchSploit:

基本搜索语法：

只需添加您想要查找的任意数量的搜索词：

显示漏洞利用的完整路径:

不建议在本地的漏洞数据库中修改exp,建议使用-m参数复制那些有用的到当前的工作目录:

exp利用：

将exp上传到目标技巧，编译运行（编译方法，在源码的注释里有）

当然，以上只是非常理想的情况，我们经常会遇到没有gcc的坑爹服务器。这时我们就需要在本地编译。本地编译时不止要看exp源码注释的编译参数，也需要手动调整一下编译的参数，比如给gcc 加-m 32来编译32位。编译问题繁多，有困难找谷歌。

最后强调利用内核漏洞的几个注意点：

1.读源码注释，有exp基本信息和编译方法，不然可能连编译都不会 2.读源码，不然费劲编译完才发现不适用 3.读源码，不然遇到一个删全盘的”exp“怎么办

漏洞原理：该漏洞具体为，get_user_page内核函数在处理Copy-on-Write(以下使用COW表示)的过程中，可能产出竞态条件造成COW过程被破坏，导致出现写数据到进程地址空间内只读内存区域的机会。修改su或者passwd程序就可以达到root的目的。 漏洞编号：CVE-2016-5195 漏洞名称：脏牛（Dirty COW） 漏洞危害：低权限用户利用该漏洞技术可以在全版本上实现本地提权 影响范围：3.9>Linux kernel >=2.6.22 并且Android也受影响

利用脚本合集：PoCs · dirtycow/dirtycow.github.io Wiki

漏洞复现：

先查看一下系统版本信息

linux kernel版本2.6.32，应该可以用脏牛提权。下载脏牛提权脚本

这里使用dirty.c这个exp:

这个exp利用了dirtycow漏洞的pokemon漏洞 。会自动生成一个新的passwd行。 运行二进制文件时，会提示用户输入新密码。 原/etc/passwd文件会备份到/tmp/passwd.bak下 ，用生成的行覆盖根帐户。运行该漏洞后，你应该能够登录新创建的用户。 使用此漏洞可以根据您的需要修改用户值。 默认为“firefart”用户。

上传到目标系统tmp目录下

在/tmp目录下直接起一个命令行，然后编译运行脚本

此时切换到firefart用户，密码为123456

执行id命令后可以看到已经为root用户了，成功提权。

利用条件

下面列举几个常见的设置了SUID的应用程序提权手段：

实用程序find用来在系统中查找文件。同时，它也有执行命令的能力。 因此，如果配置为使用SUID权限运行，则可以通过find执行的命令都将以root身份去运行。

比如：DC -1 靶机就是利用find 命令进行root 用户来执行命令

大部分Linux 系统都安装了nc。使用如下命令即可成功得到root shell：

测试：

较旧版本的Nmap（2.02≤nmap !sh sh-3.2# whoami root

5.2.0 之后，nmap 还可以通过执行脚本来提权:

在某些发行版的Linux 可能会提权失败。具体原理移步p 师傅文章

或者

如果vim 是通过SUID运行，就会继承root用户的权限。可读取只有root能读取的文件。

vim 运行shell

同理，满足条件的 less 和 more 都可。

利用关键在于找到具有SUID权限的文件，环境变量中有自己能控制的路径，比如当前目录(.)

详细文章参考：https://xz.aliyun.com/t/2767

PATH 是Linux 和 Unix 操作系统中的环境变量，它指定存储可执行程序的所有bin和sbin目录。当用户在终端上执行任何命令时，它会通过PATH变量来响应用户执行的命令，并向shell发送请求以搜索可执行文件。超级用户通常还具有/sbin和/usr/sbin条目，以便于系统管理命令的执行。

使用echo命令显示当前PATH环境变量：

测试：

环境配置：

现在我们的当前目录是/home/yokan，我们将在当前目录下创建一个srcipt目录。然后cd到script目录中，编写一个简单的c程序来调用系统二进制文件的函数。

demo.c文件内容如下图，你可以看到，我们调用了ps命令，即系统二进制文件:

然后使用gcc命令编译demo.c文件并且赋予编译文件SUID权限，命令如下：

攻击利用：

首先，你需要先入侵靶机系统并且进入到提权阶段。假设你已经通过ssh成功登录到了靶机上，二话不说，我们直接使用find命令来搜索具有SUID或4000权限的文件。

通过执行上述命令，攻击者可以遍历任何可执行文件，在这里我们可以看到/home/yokan/script目录下的shell文件具有SUID权限，如图：

于是我们cd到/home/yokan/script/目录下，ls一下，看到了名为shell的可执行文件。我们运行一下这个文件，可以看到shell文件尝试执行ps命令，这个命令是/bin目录下的用来查看进程状态的真实文件。

提权：

echo命令

其他更多的方法参考上面的文章。

当一些第三方服务，以root身份运行， 我们通过它拿到的shell就是root权限。

netstat -antup该命令可以显示所有打开并正在监听的端口，我们可以通过此命令检查是否有可以利用的本地服务

ps -aux | grep root 该命令可以显示以root用户身份运行的服务

docker 组内用户执行命令的时候会自动在所有命令前添加 sudo。因为设计或者其他的原因，Docker 给予所有 docker 组的用户相当大的权力（虽然权力只体现在能访问 /var/run/docker.sock 上面）。默认情况下，Docker 软件包是会默认添加一个 docker 用户组的。Docker 守护进程会允许 root 用户和 docker 组用户访问 Docker。给用户提供 Docker 权限和给用户无需认证便可以随便获取的 root 权限差别不大。

docker组内用户执行如下命令，即可获得root权限

测试：

创建了个用户dockertest加入了docker组，然后执行如下命令，获得root权限

先查看 secure_file_priv 的值是否为空，因为只有为空我们才能继续下面的提权步骤

提权步骤：

find命令 -o参数 表示 或者 的意思

查找SSH密钥:

常见配置文件路径：

linux_info.sh

Linux内网渗透用到的隧道技术和Windows内网渗透大差不差。

详细见《代理、转发及隧道隐藏》文章

shell

arpscan

nbtscan Linux版

就正常端口扫描，没什么好说的。针对高危端口，按照渗透测试流程进行渗透，这里就不具体展开了。

常用比如Ladon、fscan等等

https://github.com/k8gege/LadonGo

这个是Linux横向的重点，获取linux账号的明文密码作用很大，因为内网环境管理员可能就那么几个，不同服务器所设置的密码也有可能相同。

不了解SSH私钥登录的可以看这篇文章

https://www.runoob.com/w3cnote/set-ssh-login-key.html

一般情况下SSH密钥存放在~/.ssh/目录下：

搜索包含SSH密钥的文件：（下面命令不包含隐藏文件，也就是类似.ssh目录下的搜索不到）

如果找到密钥,则需要确定该密钥用于哪个服务器，关注一下几个文件：

known_hosts文件用于验证远程登陆系统的身份。ssh可以自动将密钥添加到用户文件，也可以手动添加。该文件包含用户已连接过所有主机的远程机器ip、远程机器公钥。一般，初次登陆，ssh会自动将远程主机的公钥添加到用户的known_hosts文件。known_hosts格式有两种，取决于你的~/.ssh/config文件中的HashKnownHosts字段的设置，有可能是明文也有可能是一段哈希字符串。如果没有~/.ssh/config文件，这取决于/etc/ssh/ssh_config 文件中的该字段。

修改 /etc/ssh/ssh_config 文件，

HashKnownHosts no

HashKnownHosts yes

通过密钥进行登录，

使用linux机器登录，用-i指定密钥文件的路径

如果要在Windows上使用的话，例如putty:

使用 WinSCP、SFTP 等工具将私钥文件 id_rsa 下载到客户端机器上。然后打开 PuTTYGen，单击 Actions 中的 Load 按钮，载入你刚才下载到的私钥文件。如果你设置了密钥锁码，这时则需要输入。

载入成功后，PuTTYGen 会显示密钥相关的信息。在 Key comment 中键入对密钥的说明信息，然后单击 Save private key 按钮即可将私钥文件存放为 PuTTY 能使用的格式。

今后，当你使用 PuTTY 登录时，可以在左侧的 Connection -> SSH -> Auth 中的 Private key file for authentication: 处选择你的私钥文件，然后即可登录了，过程中只需输入密钥锁码即可。

破解SSH密钥

如果发现的 SSH 密钥使用密码加密，则可以在本地破解（更快），可以使用John the Ripper或者hashcat（如果可以访问 GPU，则应利用 hashcat 来缩短破解时间）。

John the Ripper 有一个函数可以将他的密钥转换为一个名为 john2hash.py 的哈希值，并且预先安装在 Kali 上：

SSH密码加密存储在/etc/shadow文件中，可以使用john the raper或者hashcat等工具尝试爆破。

shadow文件介绍：

样例：

John the rapper破解：

hashcat破解（大字典推荐使用hashcat)：

hashcat的使用可以看这篇文章https://xz.aliyun.com/t/4008

将/etc/shadow文件，提取密码字段保存hash.txt

也可以使用hashcat hash --show来显示结果

利用strace系统调试工具获取ssh的读写连接的数据，以达到抓取管理员登陆其他机器的明文密码的作用。

在当前用户的.bashrc里新建一条alias，这样可以抓取他登陆其他机器的ssh密码。

设置完毕后，倘若当前系统不存在alias，那么就会影响其正常使用。

设置完毕后，使用SSH登录其他机器：

然后，查看/tmp/.sshpwd-xxxxx文件即可找到密码：

刚刚使用别名的方式来抓取登陆其他机器时的密码，同样也可以利用strace来监听登陆本地的sshd流量，抓到别人连入的密码。

应用场景如：通过漏洞获取root权限，但是不知道明文密码。

Linux 下创建一个隐藏文件：touch .test.txt

touch 命令可以创建一个文件，文件名前面加一个 点 就代表是隐藏文件,如下图

一般的Linux下的隐藏目录使用命令ls -l是查看不出来的，只能查看到文件及文件夹，查看Linux下的隐藏文件需要用到命令：ls -al

linux中每个目录下其实都有.和..、分别代指的是当前目录和上级目录。 建立...文件也是一个比较好的隐藏方法“

建立参数混淆拦截rm文件

rm -rf -- 命令执行了，文件没删除，命令也没有报错,可以误导管理员。

想要删除的话，使用rm -rf '/root/--'

另外，我们可以看到在/tmp下，默认存在多个隐藏目录，这些目录是恶意文件常用来藏身的地方。如/tmp/.font-unix/、/tmp/.ICE-unix/、/tmp/.Test-unix/、/tmp/.X11-unix/、/tmp/.XIM-unix/

Linux下藏后门必须要修改时间，否则很容易被发现，直接利用 touch 就可以了。

利用方法

比如参考 index.php 的时间，再赋给 webshell.php，结果两个文件的时间就一样了。

或者直接将时间戳修改成某年某月某日。如下 2022年 02 月 01 日8时10分30秒。

在Linux中，使用chattr命令来防止root和其他管理用户误删除和修改重要文件及目录，此权限用ls -l是查看不出来的，从而达到隐藏权限的目的。

这个技巧常被用在后门，变成了一些难以清除的后门文件。

无痕模式

拿到shell以后，开始无痕模式，禁用命令历史记录功能。

在这命令之后你执行的所有操作都不会记录到历史中，然而这个命令之前的所有东西都会原样记录在历史列表中。

要重新开启历史功能，执行下面的命令：

删除指定历史命令

history显示内存和~/.bash_history中的所有内容； 内存中的内容并没有立刻写入~/.bash_history，只有当当前shell关闭时才会将内存内容写入shell

删除单条命令：

删除多条命令：

通过端口复用来达到隐藏端口的目的。这里以隐藏SSH端口，通过SSH进行远程登录为例。

方法1、通过SSLH让 HTTPS 和 SSH 共享同一个端口

详细方法参考：SSLH：让 HTTPS 和 SSH 共享同一个端口 - 知乎 (zhihu.com)

这里以kali为例简单演示：

下载SSLH：

配置SSLH：

启动SSLH：

测试，检查 SSLH 守护程序是否正在监听 443。

利用：

现在，你可以使用端口 443 通过 SSH 访问远程服务器：

方法2、利用IPTables进行端口复用

目标机器配置：

攻击机运行：

测试完毕后，在目标机删除iptables规则：

管理员无法通过相关命令工具查找到你运行的进程，从而达到隐藏目的，实现进程隐藏。

libprocesshider : https://github.com/gianlucaborello/libprocesshider

linux-inject: https://github.com/gaffe23/linux-inject

前提：

允许PAM认证(默认)：

原理：

在sshd服务配置运行PAM认证的前提下，PAM配置文件中控制标志为sufficient时只要pam_rootok模块检测uid为0（root）即可成功认证登陆

利用：

可用的软连接名称：

上面su、chfn、chsh等这几个名称都可以，下面以su为例：

通过软连接建立后门：

执行完之后，任何一台机器ssh root@IP -p 4444，输入任意密码，成功登录：

优点：

能够绕过一些网络设备的安全流量监测，但是本地在查看监听端口时会暴露端口，建议设置成8081，8080等端口。

删除软连接后门：

原理：

init 首先启动的是 /usr/sbin/sshd ,脚本执行到 getpeername 这里的时候，正则匹配会失败，于是执行下一句，启动 /usr/bin/sshd ，这是原始 sshd 。原始的 sshd 监听端口建立了 tcp 连接后，会 fork 一个子进程处理具体工作。这个子进程，没有什么检验，而是直接执行系统默认的位置的 /usr/sbin/sshd ，这样子控制权又回到脚本了。此时子进程标准输入输出已被重定向到套接字， getpeername 能真的获取到客户端的 TCP 源端口，如果是指定端口， 就执行sh给个shell。

利用：

目标机：

攻击机：

优点：

1、在无连接后门的情况下，管理员是看不到端口和进程的，last也查不到登陆。

2、在针对边界设备出网，内网linux服务器未出网的情况下，留这个后门可以随时管理内网linux服务器，还不会留下文件和恶意网络连接记录。

这种用法不只是用在留后门，还可以在一些特殊情况下获取一个交互的shell，比如redis未授权写入公钥。

但是这个方法比如容易被发现

攻击机生成公私钥对：

再把公钥id_rsa.pub发送到目标上，追到到authorized_keys文件中：

同时赋予权限，但是权限不能过大:

然后，ssh在开启密钥登录功能的前提下，攻击机即可免密登录。

添加的用户很容易被发现，不常用。

一句话添加普通用户：

一句话添加root用户：

隐身登录： 隐身登录系统，不会被last、who、w等指令检测到

在介绍linux提权的时候，曾说过SUID

什么是suid？suid全称是Set owner User ID up on execution。这是Linux给可执行文件的一个属性——s标志。通俗的理解为其他用户执行这个程序的时候可以用该程序所有者/组的权限。需要注意的是，只有程序的所有者是0号或其他super user，同时拥有suid权限，才可以提权。

创建一个suid权限的文件：

使用普通用户运行就可获得root权限：

在 ubuntu 中直接在计划任务中默认使用的是sh，指向的是 dash 而不是 bash ，所以执行反弹任务可能会失败，解决方案参考：https://cloud.tencent.com/developer/article/1683265

在Linux系统中，计划任务一般是由cron承担，我们可以把cron设置为开机时自动启动。cron启动后，它会读取它的所有配置文件（全局性配置文件/etc/crontab，以及每个用户的计划任务配置文件），然后cron会根据命令和执行时间来按时来调用工作任务。

cron表达式在线生成：https://www.bejson.com/othertools/cron/

crontab -e 设置定时任务

test.sh：

chmod +sx test.sh

crontab -l 查看定时任务：

重启crond服务，service crond restart，然后就可以用nc接收shell:

如上方式，管理员执行crontab -l就能看到执行的命令内容不是特别隐蔽。

使用如下命令设置计划任务，crontab -l执行后会显示"no crontab for root"，就达到了一个简单的隐藏效果：

\r导致显示截断，使得后面的内容逐个字符覆盖前面的字符；

100%c 的作用是格式化输出一个字符，前面99个空格补齐。

详细分析可以看这篇文章：https://cloud.tencent.com/developer/article/1683265

实际上是他将 cron 文件写到文件中,而 crontab -l 就是列出了该文件的内容:

通常 cat 是看不到这个的，只能利用 less、vim 或者 cat -A 看到，这也是利用了cat的一个缺陷

cat默认使用是支持一些比如 \r 回车符 \n 换行符 \f 换页符、也就是这些符号导致的能够隐藏命令。

该漏洞存在于编辑器的 modeline功能，部分 Linux 发行版默认启用了该功能。 当 vim 打开一个包含了 vim modeline 注释行的文件时，会自动读取这一行的参数配置并调整自己的设置到这个配置。

vim默认关闭modeline。

受影响版本：Vim < 8.1.1365, Neovim < 0.3.6

使用：

首先在开启modeline:

然后我们创建个文件测试一下：

可以看到成功执行了uname -a命令

现在我们创建反弹shell的文件：

shell.txt

适用于安装了vim且安装了python扩展(绝大版本默认安装)的linux系统

vim --version可以看到vim支持python3

构造一个反弹shell脚本 test.py

执行

执行完之后命令行界面就会一片空白如下图所示，属正常现象，此时关闭命令行界面，也不会影响已经反弹回去的shell

接收到的shell：

此时可以看到可疑的 vim 连接

但是这样的后门太明显了，而且 vim -E -c “py3file test.py” 命令执行之后，还会有一个空白窗口。

我们需要隐藏一下：

从以下两点出发：

1、

2、既然是后门，那么就不能留下自己创建的文件，可以将删除命令直接拼接到命令上

因为我们最终的执行命令为：

PAM （Pluggable Authentication Modules ）是由Sun提出的一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。

利用脚本：

inetd是一个监听外部网络请求(就是一个socket)的系统守护进程，默认情况下为13端口。当inetd接收到一个外部请求后，它会根据这个请求到自己的配置文件中去找到实际处理它的程序，然后再把接收到的这个socket交给那个程序去处理。

如果来自外部的某个socket是要执行一个可交互的shell (比如,我们已经在目标系统的inetd配置文件中事先定义好),这就相当于一个简易的bind型后门

安装：

利用：

使用nc连接

进阶：

可以把daytime换成其他服务，服务和端口的对应关系在/etc/services文件查看，我们可以选择现有的，也可以自己添加一个：

然后修改/etc/inetd.conf

nc连接8881端口接口即可获得shell：

检测:

查看配置文件即可

利用ICMP中可控的data字段进行数据传输

项目地址：

使用：

首先编译.c文件【具体要求可以看项目里的介绍】

运行：

在大多数的网络里环境中IPS/IDS或者硬件防火墙都不会监控和过滤DNS流量。主要原理就是将后门载荷隐藏在拥有PTR记录和A记录的DNS域中。

一些项目：

进程注入类后门一般都需要一个 ptrace 库，ptrace 库用来调试进程，基本 linux 系统都自带此库。

进程注入工具很多

cymothoa 是一个后门工具，利用代码 shellcode 会被注入到进程中，只要进程存在，后门就会有效，所以一般选择一些自启服务的进程来注入，例如 web 服务 mysql，apache 等。其后门所拥有的权限和注入的进程权限是相同的。当拿下目标 shell 后就可以使用 cymothoa 添加后门了。

使用：

下载，进入Cymothoa，运行

这里我们就用序号 1 这个 payload，通过端口来反向 shell。使用 -p参数，用来指定需要注入的进程的 pid， - s，用来指定使用 shellcode 的序号，-y用来指定反向 shell 的端口，即别人连接自己时需要连接的端口。运行后当出现 infected 即感染的意思则代表后门注入成功。

没成功，先没管了。。。

Vegile是一个用来隐藏自己的进程的工具，即使进程被杀，又会重新启动。总会有一个进程会运行另一个进程，所以我们可以假设这个进程是不可阻挡的。

attack机器

先生成个后门：

使用任意一种方式传到victim机器。

使用msf监听：

victim机器

-i是进程注入的方式 -u是进程被杀还可以继续反弹shell

运行

--u也类似，就不演示了。

Tiny Shell 是一款开源的Unix类后门shell工具，由C语言编写，体积小，通信加密，分为客户端和服务端，支持正向连接和反弹连接模式

使用：

首先打开tsh.h设置密码（用户加密客户端与服务端的通信数据）；

修改SERVER_PORT值（后门运行后监听的端口）；

修改FAKE_PROC_NAME值（用于伪装显示后门运行后的进程名字）；

注释掉CONNECT_BACK*两行代码（这两行代码用户反向模式）；

这里因为演示就简单改一下，修改后如下所示：

编译：

编译完成后生成tsh(客户端)、tshd(服务端)两个文件：

服务端执行：

客户端:(除了获取shell之外，还可以执行单条命令、传输文件)

注： 服务端运行后，其父进程PID是1，也就是说这个进程是守护进程除非重启系统，或者手动关闭，否则一直存在（当然你也可以加入启动项，或者加入任务计划中）

编译前的准备工作和 编译正向模式类似，不过 需要将CONNECT_BACK*两行去掉注释，即去掉//，并将ip改为客户端的ip，延时也可适当修改：

编译：

服务端运行

客户端运行：

注：这里只是简单演示，在实际使用中还可以进行各种欺骗性伪装，改进程名、移到欺骗性目录等等。

在此文件中添加需要开机执行的脚本的绝对路径，如

保存退出，即可生效。

设置定时任务后，系统重启后会自动定时执行，不需要再设置开机自启，如果发现有中断的情况，考虑crond服务的启动情况。

rootkit是攻击者向计算机系统中植入的，能够隐藏自身踪迹并保留root权限的恶意程序。rootkit基于攻击者已经拿到root权限之后对系统进行破坏。rootkit会尽可能通过隐藏文件、进程、模块、进程等信息避免被监控程序检测。

这个项目列出了很多好用的rootkit，感兴趣的可以去看看。

这里只演示一下Reptile的使用。

Reptile 是种 LKM(Loadable Kernel Modules) rootkit，因此具有很好的隐藏性和强大的功能。

安装：

安装过程会有如下选项：

Hide name (will be used to hide dirs/files) (default: reptile): 会被隐藏的文件或文件名

Auth token to magic packets (default: hax0r):连接后门时的认证

tokenBackdoor password (default: s3cr3t):后门密码

Tag name that hide file contents (default: reptile):标签名，在该标签中的内容都会被隐藏

Source port of magic packets (default: 666): 源端口默认即可

Would you like to config reverse shell each X time? (y/n) (default: n): 是否每隔一段时间弹 shell ，这个功能很强，隐藏+开机自启动，如果对方防范意识不高，可以使用这个。

Reverse IP : 控制端ip

Reverse Port: 控制端端口

would you like to config reverse shell each x time(default:1800) ：您希望每隔x时间回连一次

安装成功，并且可以删除本地文件夹：

看看rootkit效果：

隐藏目录：

隐藏进程：

隐藏TCP/UDP连接：

控制端：

安装：

进入bin目录，执行./client即可启动

这个后门的运作逻辑是用任意机器（一般都是控制机）的特定端口（配置目标机器的时候666那个srcport参数）给目标 任意端口发送一段数据。然后目标机器接受到这个数据，再按照配置的里面回连。

控制端根据受控端的配置，进行设置：

设置完之后，执行run，等待一会就会收到目标机器的连接，进入控制界面

目标重启之后仍然可以接收到后门。

更多使用，参考官方wiki

在攻击结束后，如何不留痕迹的清除日志和操作记录，以掩盖入侵踪迹，这其实是一个细致的技术活。你所做的每一个操作，都要被抹掉；你所上传的工具，都应该被安全地删掉。

Linux痕迹清理方法见

https://www.cnblogs.com/yokan/p/15701536.html

https://www.freebuf.com/articles/network/257603.html https://websec.readthedocs.io/zh/latest/intranet/linux/index.html https://baiker.top/0839a9742351 https://xz.aliyun.com/t/100 https://www.ddosi.org/ssh-movement/ https://xz.aliyun.com/t/7338 https://www.cnblogs.com/-mo-/p/12337766.html 第3篇：Linux权限维持--隐藏篇 · 应急响应实战笔记 (bypass007.github.io) f0rb1dd3n/Reptile: LKM Linux rootkit (github.com) Metarget/k0otkit: k0otkit is a universal post-penetration technique which could be used in penetrations against Kubernetes clusters. (github.com) https://www.sohu.com/a/153754894_354899 https://blog.csdn.net/fageweiketang/article/details/86665518 https://www.hacking8.com/MiscSecNotes/rookit.html