Linux权限维持之vim后门

Linux权限维持之vim后门 vim python扩展后门

文中主要讲解Linux权限维持中的小技巧，通过了解掌握vim python扩展后门方式，更快知晓权限维持作用。本次实验环境靶场来自于暗月(moonsec)师傅，文中内容全由个人理解编制，若有错处，大佬勿喷，个人学艺不精；本文中提到的任何技术都源自于靶场练习，仅供学习参考，请勿利用文章内的相关技术从事非法测试，如因产生的一切不良后果与文章作者无关。

漏洞复现：

使用python的正向连接后门，这个恶意脚本dir.py的内容可以是任何内容的后门，比如监听本地11端口：

使用命令执行上面生成的脚本：

(nohup vim -E -c "py3file dir.py"> /dev/null 2>&1 &) && sleep 2 && rm -f dir.py

其中/dev/null在linux中代表空设备，结果输出到空设备也就是丢弃nohup的执行结果。“2”在linux中代表错误输出，“1”在linux中代表标准输出，在此处也就是nohup的输出。2>&1表示将错误输出绑定到标准输出上，在此处也就是将错误输出同样输出到空设备上不进行显示。所以无论nohup执行结果是否正确，都不会输出。如果需要执行后就删除这个后门脚本 &&rm -f dir.py。


在没有正向连接前，如果想在netstat里面隐藏这个进程：可以使用以下的命令：

mkdir null
mount --bind null /proc/2729
netstat -anpt

当我们应急响应发现有类似这样的连接出现，可以使用命令来查看

cat /proc/$$/mountinfo 

umount /proc/2825 #取消挂载 

ps aux | grep 2858 

可以使用这条命令来配合查看：

但如果对方已经建立了连接，那么在netstat里面就会出现一条异常的连接数据。