后门为被入侵的主机、网络设备或应用提供隐蔽且持久的访问通道,通常绕过日志记录、认证与策略控制。它可能由外部攻击者植入(Web Shell、恶意服务、计划任务),由内部人员预装,隐藏于软件供应链中,或由厂商作为未公开账户出厂。后门可用于执行命令、窃取数据以及在被清除后重新进入。
供应链后门最难发现。在 SolarWinds 事件(2020 年)中,被追踪为 UNC2452/Nobelium 的攻击者将 SUNBURST 后门植入已签名的 Orion 更新,波及约 18000 家客户。2024 年,CVE-2024-3094 披露:一名恶意维护者(「Jia Tan」)用数年时间获取信任后,在 liblzma(XZ Utils 5.6.0/5.6.1)中植入后门,通过 IFUNC 解析器挂钩 sshd,使持有特定私钥者可绕过认证;该漏洞 CVSS 评分为 10.0,在进入稳定发行版前数天被发现。机会型攻击者则在暴露的服务器上投放 China Chopper 等 Web Shell。
检测需要关联端点与网络遥测数据、代码签名校验、构建来源证明(SLSA)、配置审计与威胁狩猎。缓解措施包括最小权限、定期轮换凭据与密钥、异常检测、可复现构建以及不可篡改的审计日志。
flowchart LR
A[攻击者] --> B{植入途径}
B --> C[服务器上的 Web Shell]
B --> D[供应链植入]
B --> E[厂商未公开账户]
C --> F[隐蔽且持久的访问]
D --> F
E --> F
F --> G[执行命令]
F --> H[数据窃取]
F --> I[清除后重新进入]