一、Shift后门的概念
Shift后门是一种可以替换原有的sudo命令的后门，在裸机或虚拟机环境下完美工作。它可以通过恶意代码篡改系统的输入输出，从而达到窃取密码或者执行其他危险的操作。
Shift后门的工作原理是在用户执行sudo命令时，自动按顺序调用系统中的sudo、/usr/bin/whoami、/usr/bin/time和/bin/sh这几个程序。而Shift后门则依靠恶意代码将这几个程序后门化，以达到实现任意命令的目的。
然而，这种后门的特点是完全不会影响sudo命令的正常功能，因此不容易被察觉和发现，具有很高的欺骗性。
二、Shift后门的实现方式
Shift后门通常需要在系统执行sudo命令时自动调用。这也是它被称为”Shift”的原因，因为这个单词在键盘上按下时，可以得到”sudo”的字母顺序。
实现Shift后门的方式通常有两种：
1. 编译好的程序
针对特定的操作系统和版本，恶意攻击者编译出后门程序，并且将其拷贝到合适的位置。这种方式常常需要root权限才能实现，因此很难被正常的用户察觉到。
在实际操作中，攻击者可以先通过其他漏洞获取root权限，然后再执行这个恶意程序。
2. 内核模块
内核模块是类似插件的一种机制。攻击者可以针对特定的内核版本编写一个后门内核模块，然后配合其他工具将其插入到被攻击目标的系统中。这种方式可以避免文件被杀毒软件查杀，从而提高攻击者的成功率。
三、Shift后门的攻击效果
Shift后门的攻击效果非常显著，它可以窃取用户输入的密码，实现远程控制等危险操作。
1. 窃取密码
Shift后门利用恶意代码篡改用户输入的密码，从而达到窃取密码的目的。通常情况下，用户输入的密码会在后门中被记录下来，然后传回到攻击者的服务器上。攻击者可以通过解密得到明文密码，并且利用这些密码完成其他的攻击。
2. 实现远程控制
Shift后门在窃取密码的同时，还能够执行其他恶意代码。攻击者可以通过这个后门直接远程操控被攻击目标的系统，进行各种危险操作。
四、Shift后门的防御方式
针对Shift后门的攻击，有以下几种防御方式：
1. 更新系统和软件
攻击者通常会利用系统或软件中的漏洞来实现Shift后门的攻击。因此，及时更新系统和软件版本是最有效的防御方式之一。
2. 安装杀毒软件
杀毒软件有很强的侦测能力，可以防御很多常见的恶意程序和后门。安装杀毒软件并定期对系统进行全盘扫描，可以及时发现系统中的异常情况。
3. 配置sudo
在sudo的配置文件中，可以设置只允许授权用户以某种方式执行sudo命令。这样可以避免未知来源的后门利用sudo命令执行任意命令。
4. 监控系统日志
及时监控系统日志，可以发现系统中的异常情况。如果发现sudo命令经常被执行，但是日志中没有对应的用户信息，那么很可能是被插入了Shift后门。
五、Shift后门示例代码
#!/bin/bash
sudo(){
/usr/bin/sudo "$@"
if [ $? -ne 0 ]; then
echo "[sudo] password for $USER: "
read -s password
echo "$password" | python shift.py
/usr/bin/sudo "$@"
fi
}
上述代码是一个简单的Shift后门实现例子，它在用户执行sudo命令时，自动调用Python脚本，并将用户输入的密码作为参数传递下去。对应的Python脚本如下：
import sys
import os
SHELL_PATH = "/bin/bash"
def main():
if len(sys.argv) <= 1:
sys.exit(1)
password = sys.argv[1]
os.system("%s -c 'echo \"%s\" | /usr/bin/sudo -S /usr/bin/whoami'" % (SHELL_PATH, password))
os.system("%s -c 'echo \"%s\" | /usr/bin/sudo -S /usr/bin/time'" % (SHELL_PATH, password))
os.system("%s -c 'echo \"%s\" | /usr/bin/sudo -S /bin/sh'" % (SHELL_PATH, password))
if __name__ == '__main__':
main()
原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/282642.html
微信扫一扫 
支付宝扫一扫 