鬼仔's Blog

Author: wzt
EMail: [email protected]
Site: http://www.xsec.org & hhtp://hi.baidu.com/wzt85
Date: 2008-8-29

一. 内核后门简介
二. 内核中系统调用
三. 使用kernel mode socket函数
四. 如何扩展后门
五. 参考资料
六. 相关源代码
阅读全文 »

Author: wzt
EMail: [email protected]
Site: http://www.xsec.org & http://hi.baidu.com/wzt85
Date: 2008-9-23

一. 概述

目前通用的隐藏文件方法还是hooksys_getdents64系统调用， 大致流程就是先调用原始的sys_getdents64系统调用，然后在在buf中做过滤。修改sys_call_table是比较原始的rk技术了，碰到好点的管理员， 基本上gdb一下vmlinux就能检测出来。 如何想做到更加隐蔽的话，就要寻找新的技术。 inline hook也是目前比较流行的做法，不容易检测。本文通过讲解一种利用inline hook内核中某函数， 来达到隐藏文件的方法。
阅读全文 »

鬼仔注：刚找xiaoyu要了文中所说的test文件，另外xiaoyu也发了我一个视频，一块放上来，下载地址：test、fstab后门视频.rar。test备份地址。

作者：xi4oyu

方法一：setuid的方法，其实8是很隐蔽。看看过程:

[root@localdomain lib]# ls -l |grep ld-linux
lrwxrwxrwx 1 root root       9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
lrwxrwxrwx 1 root root      13 2008-06-07 17:47 ld-lsb.so.3 -> ld-linux.so.2
[root@localdomain lib]# chmod +s ld-linux.so.2
[root@localdomain lib]# ls -l |grep ld-2.7.so
-rwsr-sr-x 1 root root 128952 2007-10-18 04:49 ld-2.7.so
lrwxrwxrwx 1 root root       9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
[root@localdomain lib]#
我们这里给/lib/ld-linux.so.2这个文件（在FC8里，它指向ld-2.7.so这个文件）加了setuid属性。然后我们看怎么利用它。
阅读全文 »

作者：WZT
来源：WZT的自由世界

这个程序源自thc的vlogger， 我将它port到了2.6.9下， 有需要的同学可以拿去耍耍。
make;make install即可安装， 模块自动隐藏， 生成的记录文件在/tmp/kloger下， 也是隐藏掉的。

稳定性需要进一步测试， 此程序仅用于学习和交流使用。
阅读全文 »

文章作者：xi4oyu

还是放出来好了，免得老找我要这东西。功能应该比网上的日志清除工具都要好。它是修改，而不是纯粹的删除和清空基于wtmpclean改的，所以我名字都没换

上几张图好了：
修改wtmp与utmp 与username和hostname相符的条目，同时保留timestamp

阅读全文 »

作者：cnh4wk
来源：老鹰天下

工作中遇见了，查了网上文章，发现没几个实际能通过的，实在是怒。自己找了软件做了一次实战操作，基本可以保证稳定恢复。
测试环境
[root@localhost ~]# uname -a
Linux localhost.localdomain 2.6.18-8.el5 #1 SMP Fri Jan 26 14:15:21 EST 2007 i686 i686 i386 GNU/Linux

阅读全文 »

文章作者：xi4oyu
Linux 入侵踪迹隐藏攻略v0.1
免责声明：
本文仅用于教学目的，如果因为本文造成的攻击后果本人概不负责,转载请保留。
0．前言：
被警察叔叔请去喝茶时间很痛苦的事情，各位道长如果功力不够又喜欢出风头的想必都有过这样的“待遇”。如何使自己在系统中隐藏的更深，是我们必须掌握的基本功。当然，如果管理员真的想搞你而他的功力又足够足的话，相信没什么人能够真正的“踏雪无痕”。Forensic 与Anti-Forensic，说到底只是你和管理员之间的技术间较量而已。貌似很少有专门说这个的文章，大部分就是下载个日志擦除的软件，然后运行下就可以了，对小站可以，但对方如果是经验丰富的管理员呢？我们该如何应对？我在这里只介绍unix-like system下的，至于windows或者其他什么系统下的，欢迎各位道友补充。

阅读全文 »

来源：纯色笔记
作者（暂叫）：knell

因为此站为大名鼎鼎的XX电影站,流量很大，且内容很不和谐,所以一切whois,网站内容,重要渗透信息都不方便公开。
(请勿对号入座.)
题记:
第一次在team外写有关渗透的文章，呵呵。当然，还是一如既往的猪肉炖粉条—没技术含量.主要是启发下只会在winows下搞搞asp的"啊D专家,明小子高手们",Linux下一样搞渗透！
整个过程均在Ubuntu 7.10 i386 (Kernel 2.6.22)下完成，没有用到任何windows下的，非GPL的工具…以及任何非公开技术,所有工具都可以在sourceforge下载到源码.
写的断断续续的，今天终于打算给写完了..
目标:这是一个"日本电影站",所以俺的目标很简 阅读全文 »