干货|Linux痕迹隐藏技巧

0x01 主要功能点

  1. 隐藏远程SSH登陆记录
  2. 清除当前的history记录
  3. 隐藏Vim的操作记录
  4. 隐藏文件修改时间
  5. 锁定文件
  6. 清除系统日志痕迹

0x02 隐藏远程SSH登录记录

  • 隐身登录系统,不会被w、last等指令检测到。
ssh -T root@192.0.0.1 /bin/bash -i 

-T表示不分配伪终端,/usr/bin/bash 表示在登录后调用bash命令 -i 表示是交互式shell

隐藏远程ssh记录

  • 原理
    w/last命令日志/var/log/wtmp 是utmp和wtmp的日志接口产生的,而这俩接口是正常登陆分配伪终端(tty)之后才调用的,ssh -T root@192.0.0.1 /usr/bin/bash表示登陆后调用bash命令。不是一个完整的会话 类似执行一个临时命令,系统不会分配伪终端

伪终端(pseudo terminal有时也被称为pty)应用场景:

  1. 在图形界面下打开的命令行终端
  2. 基于ssh协议或telnet协议等远程打开的命令行界面
  • 如何排查
    登录后先用 echo $PPID 获取自己的PID,netstatlsof 都可以排查到

排查隐藏ssh

0x03 清除当前的history记录

如果我们不希望命令被记录、在退出会话前执行如下代码

# 清除当前会话的命令历史记录
history -r  

# 或者 不给当前的shell留时间去处理,内存的命令也就没时间写入到文件
kill -9 $$ 
    • 原理
    1. -r将历史命令文件中的命令(/.bash_history) 读入当前历史命令缓冲区.

    history -r 把历史文件(/.bash_history)附加到内存数据中了

    0x04 隐藏Vim的操作记录

    当我们使用 vim时候,会在 ~/.viminfo留下操作记录,建议使用 vi 。或者在vim中使用命令关闭记录。

    :set history=0 :!command 

    0x05 隐藏文件修改时间

    一般管理员会查看一个文件的修改时间,我们可以把我们的后门文件时间修改成几天之前创建的效果。使用如下命令。

    # touch -r A B 使B文件时间变得和A文件相同
    touch -r index.html shell.php

    隐藏文件修改时间
    但是稍微有经验的管理员使用stat或者 find ./ -ctime 0 -name "*.php" 就会发现这里的问题

    # 查找24小时内被创建的php文件
    find ./ -ctime 0 -name "*.php"

    查找隐藏文件修改时间

    stat中的三个属性意思是:

    最近访问(access time):表示我们最后一次访问(仅仅是访问,没有改动)文件的时间
    最近更改(modify time):表示我们最后一次修改文件的时间
    最近改动(change time):表示我们最后一次对文件属性改变的时间,包括权限,大小,属性等等

    比如 最近访问(access time)。我们用cat访问下,发现 最近访问 变了
    查找隐藏文件_1.png

    那么如果再绕过 stat的检测呢?修改系统时间后再 touch -r A B 就可以了。最后记得把系统时间改回来啊

    0x06 锁定文件

    有时候你发现用root权限都不能修改某个文件,大部分原因是曾经用chattr命令锁定该文件了。此权限用ls -l是查看不出来的,从而达到隐藏权限的目的。chattr命令不能保护/、/dev、/tmp、/var目录。lsattr命令是显示chattr命令设置的文件属性。

    chattr +i shell.php  #锁定文件
    rm -rf shell.php     #提示禁止删除
    
    lsattr  shell.php    #属性查看
    chattr -i shell.php  #解除锁定
    rm -rf shell.php     #删除文件

    锁定文件.png

    让某个文件只能往里面追加数据,但不能删除,适用于各种日志文件

    chattr +a /var/log/messages

    0x07 清除系统日志痕迹

    Linux 系统存在多种日志文件,来记录系统运行过程中产生的日志

    • 清除系统日志痕迹
    /var/log/btmp   记录所有登录失败信息,使用lastb命令查看
    /var/log/lastlog 记录所有用户最后一次登录时间的日志,使用lastlog命令查看
    /var/log/wtmp    记录所有用户的登录、注销信息,使用last命令查看
    /var/log/utmp    记录当前已经登录的用户信息,使用w,who,users等命令查看
    /var/log/secure   记录与安全相关的日志信息
    /var/log/message  记录系统启动后的信息和错误日志
    
    # 直接覆盖日志文件
    echo > /var/log/btmp 
    cat /dev/null >  /var/log/secure
    
    # 删除所有匹配到字符串的行,比如以当天日期或者自己的登录ip
    sed  -i '/自己的ip/'d  /var/log/messages
    
    # 全局替换登录IP地址:
    sed -i 's/192.168.166.85/192.168.1.1/g' secure
    
    • 清除WEB日志入侵痕迹
    # 直接替换日志ip地址
    sed -i 's/192.168.166.85/192.168.1.1/g' access.log
    
    # 清除部分相关日志
    cat /var/log/nginx/access.log | grep -v evil.php > tmp.log
    
    # 把修改过的日志覆盖到原日志文件
    cat tmp.log > /var/log/nginx/access.log/
    • 文件安全删除工具
    # shred 命令 安全的从硬盘上擦除数据,默认覆盖3次,通过 -n指定数据覆盖次数
    [root@centos]# shred -f -u -z -v -n 8 1.txt 
    
    # wipe 使用特殊的模式来重复地写文件,从磁性介质中安全擦除文件
    [root@centos]# wipe filename
    本文经授权后发布,本文观点不代表立场,文章出自:https://mp.weixin.qq.com/s/Bt5OENeg2-he8gwsPWWUPg
    -- 展开阅读全文 --
    简约大气自适应后台登录模板分享
    « 上一篇 03-04
    Glass(镜)-红队快速资产指纹识别探测工具v2.0
    下一篇 » 03-09

    发表评论