二进制文件中是否包含 SSH 后门代码?

Dr.Binary
list_strings
open_ghidra_server
list_strings
search_functions_by_name
list_exports
list_strings
sandbox_execute
search_functions_by_name
decompile_function

结论:包含。
在函数 auth_password()(地址 0x0012cc60)中发现了典型的硬-编码后门口令逻辑,完全绕过了正常的 OpenSSH 口令校验流程:

  1. 构造了一个静态口令

    SECRETPW = "OZm7HF";
    
  2. 如果客户端提交的口令与该字符串一致,代码立即
    • 将全局 secret_ok 设为 1
    • 直接返回认证成功 (return 1)
    从而允许任何用户(包括 root)无视系统口令登陆。

  3. 若口令不匹配,则才继续调用正常的 sys_auth_passwd() 进行常规验证。

  4. 还存在隐蔽日志与触发文件:
    • 若 /tmp/.unix 文件存在,会把登录尝试记录到 “/etc/lps/lps”,格式为
    accepted/denied: : from
    这能让操作者收集凭据而不被标准 sshd 日志捕获。

这些行为从未出现在官方 OpenSSH 源码中,明确属于人为植入的后门认证分支。

因此,上传的 ELF 可执行文件包含 SSH(sshd)后门代码,可通过硬编码口令 “OZm7HF” 获得无密码访问,并偷偷记录其他登录信息。请立即隔离并替换干净版本。