搜索的时候无意中看见的这款基于ping的ICMP后门。于是到作者的github上看看，居然是阴文的，为了过级，只能强忍着看了，学生狗伤不起。还好比较简单易懂，正如简介说的一样：“PRISM is an user space stealth reverse shell backdoor, written in pure C.”

项目地址：https://github.com/andreafabrizi/prism

PRISM只有两个主文件，配置简单，能在Linux、Solaris、AIX、BSD/Mac、Android等多个系统上运行，支持两种工作模式：ICMP 和 STATIC 模式。

ICMP模式

使用这种模式的后门将会在后台等待特定的包含主机/端口连接信息的ICMP数据包，通过私有密钥可以阻止第三方访问。后门进程接受ping包激活（总不会连ping包都不让过了靶>_<）

首先，在攻击者的机器上运行netcat来等待后门进入的连接：

 　　再使用sendPacket.py脚本（或其他数据包生成器，如nemesis-1.4）发送激活包到后门主机，以使后门主机反弹连接到主控机的指定端口：

 STATIC模式

使用这种模式，后门主机将会主动尝试连接到指定端口的的IP地址上，所以只要在指定IP上监听指定端口等待连接就可以了。但是，缺点很明显，很任意暴露攻击者的IP地址，而且使用不够灵活。

 　　当然，作为一款迷你级的后门木马。它还是有很多优点的：

两种工作模式、运行时进程重命名、不会监听端口、自动清除iptables规则表、采用C语言编写（代码仅有200来行），所以不需要任何库支持。

配置prism后门

编辑prism.c文件，修改宏定义部分：

 交叉编译prism后门

 可用的参数<OPTION>选项：

-DDETACH   //后台运行[出自:jiwo.org]
-DSTATIC   //只用STATIC模式（默认是ICMP模式）
-DNORENAME   //不再重命名进程名
-DIPTABLES   //清除所有iptables规则表项

例如：

不同平台下的交叉编译需要相关库文件：

Android平台：

Linux 64bit：

Linux 32bit：

 编译好之后，可以查看后门的配置信息：

运行prism后门测试

将该后门上传到远程后门主机，再使用sendPacket.py脚本（需以root运行）在本地发送激活包到后门主机，本地监听相关端口等待后门主机反弹连接：（这里要注意，最好时将prism.c文件上传到后门主机再进行编译，这样才更容易成功。）

这对于采用了很多限制（比喻限制了SSH）远程服务器来说，使用该后门是不错的。而且prism服务端运行后会在后台一直运行，除非服务器重启。所以，后门开启后删除自身文件将不容易被发现。

简单讲解prism后门的清除

首先，上面说了，该后门重启会失效，除非写在开机启动项里。所以攻击者想要继续留住后门，肯定会这样做，故首先要检查开机启动项里（比如/etc/rc.local,这可是root权限！）是否有未知启动脚本。联想起前段时间的BASH漏洞，有一个不错的思路是在cgi-bin里的某个脚本里作改变，当访问这个脚本时就可以触发这个prism后门，这样就可以不用之前的python脚本来触发了。厄，貌似这就讲到攻击了-_- 不管怎样，先得有点见识靶。搞不好还真有人会这样用呢。

其次，虽然这个后门可以改变后门进程名，但是还是有进程存在，所以要查出这个未知进程。可以用工具查找，找到kill掉就OK了。

最后，要设置好严格的iptables规则。该后门可以按攻击者的设置尝试清除iptables规则，所以要定期查看iptables规则是否改变。

还有，该后门是使用ICMP协议的PING包激活的，SO，如果还真怕PRISM的会，那就过滤掉ICMP包靶，走着瞧靶v_v

但是，站在攻击者的角度来看，想要防范prism后门还是比较难的。正如其作者所描述的那样：“No listening ports”，啥意思？就是想用啥端口连接都可以，额测试过了: ) 这么说来，貌似上上一条有失效了-_-

所以，综上所属，最好的办法就是做好预防工作，防止被入侵。