надежней повесить свой dropbear процесс и скрыть/замаскировать его. замена sshd - это палево, после апдейта будет тупо видно что версия не та.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Заражение unix* серверов!
- Автор темы Harbour
- Дата начала
а есть примеры сорцов где такое реализовано? интересно глянуть
Вынес отсюда техническое обсуждение в отдельную новую тему.
- Автор темы
- Добавить закладку
- #4
dropbear открытый проект. при наличии рута замаскировать процесс как два пальца, это отдельная емкая тема. без наличия рута можно затереть argv0 или заменить имя процесса на что-либо не бросающееся в глаза - bash/nginx/kworker/etc.
А если серв за НАТом?
есть популярные lkm rootkitы типа reptile и diamorphine, скрывают себя на lsmod, процессы по pid и файлы-папки по префиксу - при наличии рута с ними все легко и они решают проблему persistance в системе, то есть после ребута будут жить, но вот постоянно компилять на ломаном хосте это боль (то хедеров нет, то даже gcc - урезанные версии линуха бывают). поэтому я и спросил про примеры сорцов проектов где можно компильнуть под x64 linux и не парясь втыкать за 1 секунду куда надо, а. у ТС так и есть. удобно.
reverse ssh/shell
- Автор темы
- Добавить закладку
- #8
так не надо собирать на хосте
там то и места может не быть для этого. смотрим что за ядро/libc и собираем на своей тачке в спец. подготовленном докере- Автор темы
- Добавить закладку
- #9
ага, пишешь скрипт - раз в час долбится по определенному имени, если оттуда приходит IP, то логинится туда с reverse ssh или соединяется с пробросом ssh порта