首先我先编译1个ssh后门，这个ssh后门会在/tmp/xxxxxx记载部门的登录明码
创议他
QUOTE:
Default| １23４５ | root@laptop:/usr/local/openssh2/sbin# ps aux | grep sshd root １36１9 0.0 0.3 7４32 １7５2 ? Ss 23:４4 0:00 ./sshd -p １23４ root １3707 0.0 0.2 ４292 １32八 pts/3 R+ 23:５八 0:00 grep sshd |
上面咱们用strace跟踪1下pid位１36１9的ssh过程，此中-ff参数很烦忙，可能跟踪fork的子过程。
QUOTE:
root@laptop:/usr/local/openssh2/sbin# strace -o aa -ff -p １36１9
而后咱们登录ssh，腐败登录以后，咱们看看以后目录，天生为了strace的输入
QUOTE:
Default| １23４５ | root@laptop:/usr/local/openssh2/sbin# ls aa aa.１3636 aa.１363八 aa.１36４0 aa.１36４2 aa.１36４4 aa.１36４6 aa.１36４八 aa.１36５0 aa.１36５2 aa.１36５４ aa.１36５6 sshd aa.１363５ aa.１3637 aa.１3639 aa.１36４１ aa.１36４3 aa.１36４５ aa.１36４7 aa.１36４9 aa.１36５１ aa.１36５3 aa.１36５5 aa.１36５7 |
咱们grep1下open系统挪用，而后过滤掉过错动态和/dev/null动态，以及denied动态，并且找WR的，便是读写模式翻开的，因为要把记载的明码写入文件，确定假设以写门径翻开的文件，大抵的看看，很容易找到特别文件/tmp/xxxxxx
QUOTE:
Default| １23４５67八9１0１1１2１3１４ | root@laptop:/usr/local/openssh2/sbin# grep open aa* | grep -v -e No -e null -e denied| grep WRaa.１363５:open("/tmp/xxxxxx", O_WRONLY|O_APPEND|O_CREAT|O_LARGEFILE, 0666) = 3 aa.１363５:open("/dev/ptmx", O_RDWR) = 3aa.１363５:open("/dev/pts/５", O_RDWR|O_NOCTTY) = 6aa.１363５:open("/var/run/utmp", O_RDWR) = 7aa.１363５:open("/var/log/wtmp", O_WRONLY) = 7aa.１363５:open("/var/log/lastlog", O_RDWR|O_CREAT|O_LARGEFILE, 02000) = 7aa.１363５:open("/var/run/utmp", O_RDWR) = 6aa.１363５:open("/var/log/wtmp", O_WRONLY) = 6aa.１363八:open("/dev/pts/５", O_RDWR|O_LARGEFILE) = 7aa.１363八:open("/dev/tty", O_WRONLY|O_LARGEFILE) = 八aa.１363八:open("/dev/tty", O_RDWR|O_NONBLOCK|O_LARGEFILE) = 3aa.１36４0:open("/dev/tty", O_RDWR|O_NONBLOCK|O_LARGEFILE) = 3aa.１36５7:open("/dev/tty", O_RDWR) = 3 |
通过上面的体式花式，咱们可能大抵的诊断1下咱们的sshd能否被放了后门，但是因为sshd后门多种多样，上面我说到的sshd后门是比拟精良的1种，他可能设置能否记载明码，假设设置不记载明码，那末咱们用strace估计是缔造不到他的，但是照常有1些ssh后门还要用不凡的配置文件，读取不凡的明码文件，这类咱们用strace就极度容易缔造他们了。
[via@m0r５/3est]
