Linux权限维持之suid后门、ssh后门

最新推荐文章于 2026-04-16 10:38:22 发布

原创

最新推荐文章于 2026-04-16 10:38:22 发布 · 4.2k 阅读

标签

#linux #ssh #安全 #web安全 #渗透测试

收录于

本文介绍了Linux系统中两种权限维持技巧：SUID后门和SSH后门。SUID后门通过赋予普通文件特殊权限，使执行者在运行时获得文件所有者的权限。创建SUID后门涉及复制二进制文件并修改权限，然后执行带有特定参数的后门文件。防守方可以通过查找具有SUID权限的文件进行检测。SSH后门包括软连接后门，通过PAM配置改变ssh行为，允许任意密码登录，以及SSH密钥登陆和Keylogger，用于记录密码。防守方应关注系统中异常的SSH配置和活动。

文中主要讲解Linux权限维持中的小技巧，通过了解掌握SUID后门、SSH后门等方式，更快知晓权限维持作用。本次实验环境靶场来自于暗月(moonsec)师傅，文中内容全由个人理解编制，若有错处，大佬勿喷，个人学艺不精；本文中提到的任何技术都源自于靶场练习，仅供学习参考，请勿利用文章内的相关技术从事非法测试，如因产生的一切不良后果与文章作者无关。

SUID后门及SSH后门权限维持

SUID后门的必要条件：

首先SUID权限仅对二进制程序有效；
执行者必须对这个程序有可执行的权限；
本权限仅在执行该程序的过程中有效；
在执行过程中执行者将具有该程序拥有者的权限

我们需要创建一个SUID文件：

cp /bin/bash /tmp/.long #将bash命令cp到.long二进制程序中
chmod 4755 /tmp/.long #赋予SUID文件的权限

在这里插入图片描述
执行这个SUID后门文件：

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

全局变量Global

关注关注

2
点赞
踩
12

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

【安全研究】Linux后渗透常见后门驻留方式分析

weixin_49128886的博客

11-09

1812

Linux后渗透常见后门驻留方式分析

HW之红队常见Linux的几种权限维持

hackzkaq的博客

06-06

814

在红蓝对抗过程中拿到目标权限只是开始，当我们在渗透过程中通过漏洞获取到目标主机权限后，往往会因为服务器管理员发现和修补漏洞而导致对服务器权限的丢失，所以权限维持就显得很重要了。在前面几篇中，我们介绍了windows的提权及权限维持，Linux提权的几种方法也进行了总结，本期我们将继续对Linux的权限维持进行探究.关联阅读： Windows常见的几种提权方法、红队常见Windows的几种权限维持、红队常见Linux的几种提权方法1.1）修改文件的创建时间如果蓝队根据文件修改时间来判断文件是否为后门，如参考i

参与评论您还未登录，请先登录后发表或查看评论

系统渗透与防护——后门植入与SUID提权

m0_60643467的博客

10-09

2252

Msfvenom Msfvenom是MSF框架配套的攻击载荷生成器，可以用来生成木马程序，并在目标机上执行，在本地监听上线。部分参数 -p：选择一个载荷 -f：生成的文件格式 -lhost：监听地址 -lport：监听端口 -o：输入文件名 -h：帮助 Msfvenom实验测试 Msfvenom生成后门文件第一步，在kali生成后门文件第二步，开启Linux靶机的root用户，并设置密码上传后门文件至靶机第三步，在kali中将后门文件发送到目标主机在

Linux常见后门（非常详细）零基础入门到精通，收藏这一篇就够了

Libra1313的博客

05-07

4533

Rootkit 是网络犯罪分子用来控制目标计算机或网络的软件。Rootkit 有时可以显示为单个软件，但通常由一系列工具组成，这些工具允许黑客对目标设备进行管理员级控制。黑客通过多种方式在目标计算机上安装 Rootkit：最常见的是通过网络钓鱼或其他类型的社会工程攻击。受害者在不知不觉中下载并安装隐藏在计算机上运行的其他进程中的恶意软件，并让黑客控制操作系统的几乎所有方面。另一种方法是利用漏洞（即软件或未更新的操作系统中的弱点）并将 Rootkit 强制安装到计算机上。

操作系统权限维持（七）之Linux系统-SUID后门

把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....

03-27

803

我们通过这样的方式去留下一个SUID后门，当我们丢失了root权限，只有一个普通用户权限的时候运行以下命令，重新拿到root权限。当我们在已经获得了root用户的权限下，要去维持这个root用户的权限时。

Linux权限维持

2403_82795493的博客

02-26

1129

在攻击者利用漏洞获取到某台机器的控制权限之后，会考虑将该机器作为一个持久化的据点，种植一个具备持久化的后门，从而随时可以连接该被控机器进行深入渗透。

linux权限维持

E1even的博客

11-04

1188

接下来将开启linux权限维持的学习：放一张Llinux权限维持镇楼图(图源ShAun’s Blog) 修改文件创建时间如果蓝队根据文件修改时间来判断文件是否为后门，如参考index.php的时间再来看shell.php的时间就可以判断shell.php的生成时间有问题。使用touch命令修改时间和属性 touch -r index.php shell.php 这里就复刻了index.php的属性，创建了一个同属性的shell.php ...

【权限维持技术探索】

qq_55213436的博客

01-17

1385

定义攻击者尝试维持驻点的技术，包括攻击者用来在重启、修改凭据或则其他能够切断攻击者访问的情况下，依然保持对系统的访问，具体技术包括一些访问某些页面、执行某些操作或者修改配置使得能够在系统上长久的驻留。后门的功能常见的后门往往有一些功能以达到一些目的，如：写入后门文件、会连CC、进行密码记录和挖矿等功能。权限维持常常具有：定期出发、重启出发、以及常见的事件调用唤起后门等特点。攻击者常常通过文件隐藏、进程隐藏、网络隐藏、守护进程、系统权限启动等操作达到如下目的。后门分类。

[网络安全]Linux权限维持-后门篇

最新发布

曼岛_的博客

04-16

599

未知攻，焉知防。以上后门技术涵盖了用户、文件、进程、网络、认证等多个层面。定期审计：用户、SUID文件、计划任务、SSH密钥、服务端口基线校验：对比关键二进制文件（sshd、ps、ls）的hash日志监控：开启auth.log、secure日志，并发送到远程工具辅助：使用rkhunterchkrootkitauditdSysdig等只有了解攻击者的“藏身之术”，才能有的放矢地加固系统。安全之路，你我同行。本文仅用于技术研究与防御学习，请勿用于非法用途。

Linux权限维持之suid后门(二)

2303_78851087的博客

03-05

591

Linux权限维持之suid后门(二)

ssh后门介绍与防御

有勇气的牛排博客

08-04

2143

文章目录1 介绍2 实战演练2.1 查看版本2.2 下载SSH配置文件2.3 安装2.4 修改后门密码and文件记录2.5 编译安装2.6 摸出痕迹3 防御ssh后门 1 介绍当拿到root权限后，一般需要维持权限（留后门），可以做openssh后门，也就是root双密码，管理员一个密码，我们的后门一个密码。 2 实战演练实验环境：Centos7 2.1 查看版本 ssh -v 可以对ssh备份配置文件，可以对后期的文件时间进行修改 cp -p /etc/ssh/ssh_config / etc/

倒反天罡的ssh后门｜ Linux 后门系列

jijisaq的博客

04-08

2484

今天看见有安全研究员发了一篇 ssh 后门的文章，复现思考后分享给大家。

你的服务器藏了多少个“特权后门”？—— Linux SUID文件排查记

Bruce_xiaowei的博客

11-27

666

摘要： Linux系统中的SUID权限机制（允许用户以文件所有者权限执行程序）既是管理便利工具，也是高危攻击向量。文章分析了Exim4邮件服务器（历史漏洞重灾区）、pppd守护进程（dip组权限风险）、Polkit组件（近年严重漏洞）等高危SUID程序，以及kismet工具集等中等风险程序。提供了立即执行的检测命令（如find / -type f -perm -04000）、权限优化策略（最小权限原则）、系统更新方法和高级监控配置（auditd规则）。强调企业环境中需建立基线配置管理、实时威胁检测和持续漏洞

Linux权限维持—OpenSSH&PAM后门&SSH软连接&公私钥登录

剁椒鱼头没剁椒的博客

08-22

4278

由于密码日志文件是被隐藏的，所以可以直接使用cat去查看，这里只要管理者使用ssh进行连接就会记录密码，而这些操作都是无感的，当然若管理员会去定期排查，那么该被发现还是会被发现的，这些都是基于管理员不会定期去排查才能够持久。这里要注意一个问题就是，不一定编译就能够成功，有时候根本无法编辑，从网上找的很多资料中，都跳过直接给命令，所以这里我就提前说一下，不一定能够编译成功，不成功再次重新测试，若还是不行，就拉到吧。这里重启也可能存在问题，这个实验有时候很莫名其妙的，有时候能够测试成功，有时候测试是不成功的。

通过SSH留后门（创建ssh软链接）

songling515010475的专栏

05-10

2506

一、判断sshd_config配置中的UsePAM参数是否为yes cat /etc/ssh/sshd_config 二、确认对应的pam配置文件是否包含auth sufficient pam_rootok.so配置，只在包含这件配置才可以通过ssh任意密码登录。三、通过命令创建后门软链接，通过查看端口己监听。 ln -sf /usr/sbin/sshd /tmp/su; /tmp/su -oPort=12345 netstat -antlp 四、通过另一台机器ssh进行任意密码登

ssh软连接后门

weixin_60719780的博客

05-23

837

软连接后门的原理是利用了PAM配置文件的作用，将sshd文件软连接名称设置为su，这样应用在启动过程中会去PAM配置文件中寻找是否存在对应名称的配置信息（su），su在pam_rootok只检测uid 0 即认证成功，导致可以使用任意密码去登录。

利用iptable实现ssh端口复用后门

qq_68163788的博客

11-20

1899

在Linux系统中，可以使用iptables来实现SSH端口复用后门。SSH端口复用后门是一种隐藏在SSH服务中的后门，可以通过修改iptables规则来实现。首先，需要确保iptables已经安装在系统中。上面的命令中，是指定的用于后门的端口号，是原本的SSH服务端口号。接下来，需要修改SSH配置文件，将监听端口改为新的端口号。打开SSH配置文件（通常是/etc/ssh/sshd_config），找到Port项，并将原本的SSH端口号改为新的端口号。

利用软链接建立 SSH 后门

fanjinhong_8521的博客

03-27

593

系统重启之后，软链接不会被删除，但这种后门方式很容易被发现，因为它可能会在系统日志、进程列表或者文件系统检查中留下痕迹。在 CentOS 7 系统上，此操作可能会失败，不过在 Kali 系统中能够成功连接。具体的失败原因可能和系统的安全策略、服务配置等因素有关。可以通过创建软链接的方式建立一个 SSH 后门，不过执行下面的命令需要使用 root 权限。为了让这个后门在系统重启之后依然能够自动启动，可以把它配置成系统的自启动服务。此命令的作用是重新加载 Systemd 管理器的配置，让新创建的服务文件生效。

Linux权限维持（三）

pingan233的博客

02-23

676

根据原理我们可以知道配置文件的核心是pam配置中的pam_rootok.so，所以只需包含这句话就可以实现后门功能，而且默认的配置文件中除了su，还有其他的可利用的配置文件。,只要PAM配置文件中包含此配置即可SSH任意密码登陆，实践表明，可成功利用的PAM配置文件除了su还有chsh、chfn。通过软连接的方式，实质上PAM认证是通过软连接的文件名（如：/tmp/su,/home/su）在。，所以我们可以在找不到其他的可以进行软连接的文件时，自己创建一个包含。都可以，只要文件位置有su文件。

SSH公私钥后门从入门到应急响应

记录开发和安全学习过程中的点点滴滴

09-15

2098

SSH（Secure Shell）公私钥对是一种用于认证的加密技术，它允许用户通过持有私钥来远程登录服务器，而无需输入密码。这种认证方式比传统的密码认证更安全，因为它依赖于加密技术来验证用户的身份。SSH公私钥后门是一种利用SSH协议的公钥认证机制来实现未授权访问的技术。在SSH协议中，除了传统的密码认证方式外，还可以使用公钥和私钥对进行认证。用户将公钥放置在服务器的文件中，之后使用对应的私钥即可登录服务器，无需输入密码。