最常见的SSHD后门分析

Net丶S · 发表于 2018-4-26 16:33

本帖最后由 Net丶S 于 2018-4-27 15:53 编辑

上周收到一个SSHD后门，正好在学习逆向，就像分析一下，这个后门是一个linux下64位的ELF文件，我没用过IDA，于是边学边做。在网上搜索了很长时间，没有找到关于SSHD后门的分析文章，其实过程非常简单，发出来分享一下。
分析过程很简单，把二进制文件直接拖入IDA中，没用过IDA，中间很多学习的过程就不说了，直接说步骤：
IDA有一个窗口是查看文件中的字符串，一般来讲后门肯定是有一个万能密码的，所以先打开字符串窗口，发现很多字符串，直接搜索password，发现一个非常可疑的字符串：+user:%s+password:%s\n;
字符串.png

这个很明显是c语言格式化输出用户名和密码，直接双击点进去查看汇编，找到了反汇编之后的字符串：

双击data后面IDA解析的内容，查看汇编，找到了输出的位置：

大佬可以直接分析汇编，但是IDA还有两个个功能：一个是切换流程图视图，一个是F5大法转化为伪C语言，先按空格转化为流程图：

直接就发现，右边有一个名字是backdoor_active的函数，往上翻到调用这个函数的地方，即auth_password函数开始，发现程序会把密码和一串字符对比，如果相同，就会直接调用backdoor函数，绕过验证，直接登陆：

这个就是后门文件的万能密码。反过来在看左边，如果密码不是万能密码的话会一步一步验证，到+user:%s+password:%s\n;字符创的位置会打开一个文件，并将这部分打印到这个文件中，这样就记录了所有登陆过的用户名和密码：

最后再看一下F5的伪C语言代码，流程比较清晰，这个后门放用户名和密码的文件伪装性还不错：

附件是后门样本

sshd后门.7z (290.46 KB, 下载次数: 61)

Net丶S · 发表于 2018-4-27 11:03

xuanqing 发表于 2018-4-27 07:41
这是给别人下马用的么

黑了别人的服务器，把SSH远程连接的可执行文件替换成这个，他就可以随便用万能密码登陆，然后查看那个文件就可以知道这个主机的管理员密码，长时间控制别人机器

Net丶S · 发表于 2018-4-27 15:54

Hmily 发表于 2018-4-27 14:14
@Net丶S 使用论坛附件上传样本压缩包时必须使用压缩密码保护，压缩密码:52pojie，否则会导致论坛被杀毒软件 ...

好的，我修改一下

stxxb · 发表于 2018-4-26 17:42

学习了谢谢分析

drw888 · 发表于 2018-4-26 18:39

谢谢@Thanks！

darkmacan · 发表于 2018-4-26 20:32

看了其中的偽C語言的代碼，真的寫得很高超呀！

FirstSame · 发表于 2018-4-26 20:47

学习了，谢谢大佬的分析。

shagua · 发表于 2018-4-26 20:52

很厉害点赞

mxqqw · 发表于 2018-4-26 21:49

感谢分享，伪c这块很清楚

lhp369 · 发表于 2018-4-26 22:51

感谢分享，好好学习一下

xuanqing · 发表于 2018-4-27 07:41

这是给别人下马用的么

hairch · 发表于 2018-4-27 07:54

非常感谢楼主的分享!支持...

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 最常见的SSHD后门分析

免费评分