socks5后门最直接表现是监听1080等非业务端口，需用netstat/ss查监听、ps核验进程、find/strings定位可疑二进制、systemctl/crontab排查持久化、tcpdump抓包验证协议特征。
查异常监听端口与代理进程
SOCKS5后门最直接的表现是监听非业务端口，比如1080、1081、8080、6666等常见代理端口。先用netstat -tulnp或ss -tulnp列出所有监听服务：
- netstat -tulnp | grep -E ':1080|:1081|:8080|:6666' —— 快速筛选典型代理端口
- ss -tulnp | grep -v '127.0.0.1\|::1' —— 排除本地回环，专注对外暴露的监听
- 对命中结果中的PID，用ps -p PID -o pid,ppid,cmd,user,%cpu,%mem确认进程归属和资源占用
重点怀疑对象：无名进程（如[kthreadd]伪装）、用户为nobody或root但路径不在标准目录（如/tmp、/dev/shm、/var/tmp下运行）。
找隐藏的代理程序文件
攻击者常将SOCKS5可执行文件藏在临时目录或内存文件系统中，且设为不可见属性。执行以下组合命令定位可疑二进制：
- find /tmp /dev/shm /var/tmp -type f -perm /111 -mtime -7 2>/dev/null | xargs -r ls -la —— 查近7天内可执行的临时文件
- ls -la /proc/*/exe 2>/dev/null | grep -v 'no such file' | grep -E '/tmp|/dev/shm|/var/tmp' —— 检查正在运行但源文件在临时路径的进程
- strings $(which nc) 2>/dev/null | grep -i 'socks\|proxy' 或对可疑进程路径执行strings /path/to/binary | grep -i 'auth\|connect\|bind' —— 判断是否含SOCKS协议逻辑
核验自启机制与持久化痕迹
SOCKS5后门若要长期存活，必然注册为开机启动项。需逐层排查以下位置：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- systemctl list-unit-files --state=enabled | grep -i 'sock\|proxy\|tunnel' —— 查systemd服务
- crontab -l && crontab -u root -l 2>/dev/null —— 查用户级定时任务，留意@reboot或高频轮询启动命令
- cat /etc/rc.local 2>/dev/null | grep -i 'sock\|1080\|nc\|socat\|proxy' —— 查传统启动脚本
- ls -la /etc/systemd/system/*.service /usr/lib/systemd/system/*.service 2>/dev/null | grep -E '(sock|proxy|tunnel)' —— 手动检查服务文件是否存在硬编码启动
发现可疑服务时，用systemctl cat servicename查看完整配置，特别注意ExecStart是否调用未知路径的二进制或带-D后台参数的socat/nc命令。
分析网络连接与流量特征
即使进程已隐藏，真实连接仍会留下痕迹。结合连接状态与日志交叉验证：
- netstat -antp | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10 —— 统计高频外连IP，比对是否属业务合作方
- tcpdump -i any port 1080 -w /tmp/socks5.pcap &（需提前部署）—— 抓包分析协议是否为真实SOCKS5握手（含0x05版本号、0x02认证方式字段）
- grep -r '1080\|1081' /var/log/* 2>/dev/null | grep -E '(accept|connect|bind)' | head -5 —— 查系统日志中是否有代理服务启动记录
若发现大量短连接指向境外VPS或已知C2域名，基本可判定为隧道后门。此时应立即断网隔离，避免进一步横向渗透。
