后门程序可以绕过正常的身份验证。有时它是开发者为了维护或调试而有意植入的，有时则是攻击者在获得访问权限后植入的。无论哪种情况，它都能让攻击者绕过正门进入系统。后门程序可以是带有硬编码密码的隐藏账户、打开 shell 的秘密命令，或是连接到攻击者服务器的远程访问工具。

后门之所以危险，是因为它们对标准安全控制措施不可见。防火墙只能检测到正常的网络流量，而杀毒软件扫描可能漏掉定制植入的恶意软件。2013 年 Target 数据泄露事件始于从一家暖通空调供应商窃取凭证，随后攻击者植入后门，在长达数月的探索过程中维持访问权限。供应链攻击会在软件更新中植入后门，导致成千上万的组织机构在不知不觉中安装了这些后门。2020 年 SolarWinds 数据泄露事件正是如此。检测后门需要监控异常行为、不寻常的出站连接和意外的账户活动。清除后门通常意味着需要从头开始重建受影响的系统。你无法信任一台被他人控制过的机器。

后门类型

• 硬编码凭证——内置于软件中的隐藏帐户
• 远程访问木马——一种赋予攻击者控制权的恶意软件
• Web shell——上传到服务器以实现持久访问的脚本。
• 供应链植入——恶意代码被插入到合法的更新程序中

后门程序并非总是出于恶意。有些是开发过程中遗留下来的，从未被移除。这些后门程序同样危险。