Linux服务器SSH攻击防御与入侵检测实战

1. SSH攻击与防御实战背景

在Linux服务器运维中，SSH服务是最常被攻击的目标之一。根据我多年运维经验，暴露在公网的服务器平均每天会遭遇300+次SSH暴力破解尝试。攻击者通常使用自动化工具扫描全网开放22端口的服务器，然后通过字典攻击尝试获取访问权限。

2. 常见SSH攻击手段解析

2.1 暴力破解攻击

暴力破解是最基础的攻击方式，攻击者使用工具如Hydra、Medusa等，通过常见用户名密码组合尝试登录。典型特征包括：

• 高频次登录尝试（每分钟数十次）
• 使用admin/root/administrator等常见用户名
• 密码多为123456、password等弱密码

防御方案：

bash复制# 修改SSH默认端口
Port 2222

# 限制root登录
PermitRootLogin no

# 启用失败锁定
sudo apt install fail2ban

2.2 密钥泄露攻击

当服务器私钥意外泄露时，攻击者可能直接使用密钥登录。我曾处理过一个案例，开发人员将密钥上传到GitHub导致服务器被入侵。

防护建议：

bash复制# 定期更换密钥对
ssh-keygen -t rsa -b 4096

# 设置密钥密码
ssh-keygen -o -f ~/.ssh/id_rsa

3. 木马入侵检测技术

3.1 异常进程监控

使用ps aux命令结合grep筛选可疑进程：

bash复制ps aux | grep -E '(miner|backdoor|shell)'

3.2 网络连接分析

netstat命令检测异常外连：

bash复制netstat -antp | grep ESTABLISHED

3.3 文件完整性检查

使用aide工具建立文件指纹库：

bash复制sudo apt install aide
sudo aideinit
sudo aide --check

4. 实战：检测并清除SSH后门

4.1 排查可疑账户

检查/etc/passwd中的异常用户：

bash复制cat /etc/passwd | grep -E '/bin/bash|/bin/sh'

4.2 检查authorized_keys

查看所有用户的SSH授权密钥：

bash复制find /home -name authorized_keys -exec ls -la {} \;

4.3 清除恶意进程

发现挖矿程序后的处理流程：

bash复制# 定位进程
top -c

# 终止进程
kill -9 [PID]

# 删除文件
rm -f /tmp/.X11-unix/x

5. 高级防护方案

5.1 双因素认证

配置Google Authenticator：

bash复制sudo apt install libpam-google-authenticator
google-authenticator

5.2 端口敲门技术

使用knockd隐藏SSH端口：

bash复制sudo apt install knockd
sudo systemctl enable knockd

5.3 网络层防护

配置iptables限制连接：

bash复制iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

6. 运维经验分享

6.1 日志分析技巧

使用grep分析auth.log：

bash复制grep 'Failed password' /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

6.2 自动化监控脚本

示例监控脚本：

bash复制#!/bin/bash
ALERT_COUNT=5
FAILED_LOGINS=$(grep 'Failed password' /var/log/auth.log | wc -l)

if [ $FAILED_LOGINS -gt $ALERT_COUNT ]; then
    echo "警报：检测到$FAILED_LOGINS次失败登录" | mail -s "SSH警报" admin@example.com
fi

6.3 应急响应流程

入侵事件处理步骤：

1. 立即断开网络
2. 创建系统快照
3. 收集日志证据
4. 分析入侵路径
5. 修复漏洞
6. 恢复服务

重要提示：所有安全操作都应先在测试环境验证，避免影响生产服务。定期备份关键数据是最后的安全保障。