正文
socat STDIO TCP4:target_ip:22
,sourceport=19526
其中，\x00\x00LF是19526的大端形式，便于传输和处理。
原理是从sshd fork出一个子进程，输入输出重定向到套接字，并对连过来的客户端端口进行了判断。隐蔽性比刚刚介绍的软连接后门要好。
2、logger型
2.1 alias后门
这种通过替换命令来使得evil效果最大化的用法，一般是通过追踪ssh的系统调用比如read、write等来记录下ssh的操作。
在当前用户的.bashrc下添加如下代码：
alias ssh='strace -o /tmp/sshpwd-`date '+%d%h%m%s'`.log -e read,write,connect -s2048 ssh'
当然，这只是alias后门的一种用法，可根据具体情况举一反三。
2.2 pam后门
pam是一种认证机制，它可帮助管理员快速方便地配置认证方式，并且无需更改服务程序。这种后门主要是通过pam_unix_auth.c打补丁的方式潜入到正常的pam模块中，以此来记录管理员的帐号密码。搭建方式见下连接。
2.3 openssh后门
同理，也是下载对应的恶意补丁包，来记录管理员的帐号密码。但该后门与pam后门存在很大的问题是编译环境，有时在实战中会出现各种各样的问题。搭建方式见下连接。
http://www.tuicool.com/articles/eIv22az
3、rookit型
3.1 应用级rootkit
应用级rookit的主要特点是通过批量替换系统命令来实现隐藏，如替换ls、ps和netstat等命令来隐藏文件、进程和网络连接等，有时会有守护进程来保证后门的稳定性。推荐两款常用的木马：mafix和brookit。如果想要学习linux类木马，推荐阅读orange的tsh源码，基本上涵盖了常规木马应具有的特点。
3.2 内核级rookit
隐藏性通常要借助对linux系统调用的截获来达到目的，并且难以查杀，难以清除，危害巨大。
由于未找到相应例子，遂不做具体分析。希望有同学能补充。
二、windows后门
windows后门博大精深，实在不好分类，因为后门常需持久化潜在运行，受到powersploit中persistence脚本的启发，因此采取使用后门的触发方式进行分类，分为registry型、schtasks型和WMI型。
1、registry型
在一般用户权限下，通常是将要执行的后门程序或脚本路径填写到如下注册表的键值中HKCU:Software\Microsoft\Windows\CurrentVersion\Run，键名任意。普通权限即可运行。
不过这老生长谈的后门早已被用烂，360杀软会弹框提示。
2、schtasks型
该类型后门可分为管理员权限和普通用户权限，管理员权限可以设置更多的计划任务，比如重启后运行等。
举例：
每小时执行指定命令：
schtasks /Create /SC HOURLY /TN Updater /TR $CommandLine
这里比较大的限制是策略问题，只能按照规定的时间来执行相关程序或命令。通常来讲，持久性的APT对于这点要求较高。
3、WMI型
Defcon23的演讲后，WMI型后门的热度在国外迅速蔓延。（强烈推荐使用该类型后门）
它是只能由管理员权限运行的后门，一般是用powershell编写。目前以这一触发方式运行的后门是不会引起杀软任何反映的。具体原理可到drops去了解。
该类型后门主要用到了WMI展现出来的两个特征：无文件和无进程。
