目录
什么是后门？
后门的常见类型
2.1 按植入方式分类
2.2 按功能分类
后门在安全测试中的作用
后门的玩法与免杀技术
4.1 常见后门技术
4.2 如何实现免杀（Bypass AV）
如何检测和防御后门？
总结
1. 什么是后门？
在网络安全中，后门（Backdoor） 是指攻击者或开发者故意在系统、软件或网络中留下的隐蔽入口，用于绕过正常身份验证机制，实现对目标系统的长期控制。后门可以是恶意植入的，也可以是开发阶段遗留的（如调试后门未删除）。
后门的特点：
隐蔽性：通常不会在正常使用中被发现。
持久性：即使系统重启或更新，后门仍能保持访问权限。
绕过认证：无需合法凭据即可进入系统。
2. 后门的常见类型
2.1 按植入方式分类
类型
说明
例子
恶意软件植入
通过木马、病毒等方式植入
Metasploit的Meterpreter、Cobalt Strike Beacon
供应链攻击
在软件编译或分发阶段植入
2020年SolarWinds事件
开发者预留后门
开发人员故意留下的调试后门
某些IoT设备的默认密码
漏洞利用后门
利用漏洞（如RCE）植入后门
WebShell（如中国菜刀、冰蝎）
2.2 按功能分类
类型
说明
远程控制后门
允许攻击者远程执行命令（如RAT）
权限维持后门
确保攻击者长期控制（如SSH authorized_keys注入）
数据窃取后门
用于回传敏感信息（如键盘记录、文件窃取）
代理后门
将受害主机作为跳板（如SOCKS5代理）
3. 后门在安全测试中的作用
在渗透测试（Penetration Testing） 和 红队演练（Red Teaming） 中，后门技术常用于：
✅ 权限维持 ：防止因漏洞修复或系统重启导致访问丢失。
✅ 横向移动 ：作为跳板攻击内网其他主机。
✅ 模拟APT攻击：测试企业防御体系是否能检测隐蔽后门。
典型场景：
通过WebShell控制服务器后，植入C2（Command & Control）后门维持访问。
在提权成功后，创建隐藏账户或计划任务确保持久化。
4. 后门的玩法与免杀技术
4.1 常见后门技术
技术
说明
WebShell
PHP/ASP/JSP等脚本，用于Web服务器控制
二进制后门
修改系统二进制文件（如替换ls、ssh）
计划任务/CronJob
定时执行恶意脚本
注册表后门
Windows注册表自启动项（如Run键）
Rootkit
内核级隐藏后门（如Linux的LD_PRELOAD劫持）
4.2 如何实现免杀（Bypass AV）
杀毒软件（AV）和EDR会检测后门，因此攻击者需使用免杀技术：
🔹 代码混淆 ：加密Shellcode、使用无文件攻击（如PowerShell内存加载）。
🔹 合法工具滥用 ：使用签名白名单程序（如msbuild.exe、regsvr32.exe）加载恶意代码。
🔹 反沙箱技术 ：检测虚拟机/沙箱环境，避免自动分析。
🔹 定制化后门：修改公开后门（如Metasploit）的签名特征。
5. 如何检测和防御后门？
检测方法
✔ 日志分析 ：检查异常登录、计划任务、进程行为。
✔ 文件完整性监控 ：对比系统关键文件哈希（如Tripwire工具）。
✔ 流量分析：检测C2通信（如DNS隧道、异常HTTP请求）。
防御措施
✅ 最小权限原则 ：限制管理员账户使用。
✅ 定期更新和补丁 ：防止漏洞被利用植入后门。
✅ 部署EDR/XDR ：实时监控可疑行为。
✅ 代码审计：检查开源软件和内部代码是否含后门。
6. 总结
后门是网络攻防中的关键手段，既可用于攻击者持久控制，也可用于安全测试评估防御能力。了解后门技术有助于企业更好地防御APT攻击，而免杀与反免杀的对抗将持续演化。