1. 事件背景与问题定位
去年夏天，我们团队的一台测试服务器突然出现异常流量暴增，最终导致整个测试环境瘫痪。经过排查发现，这台CentOS 7.9系统的测试机由于使用默认SSH端口22和弱密码"Test@123"，在开放公网3天后就遭到暴力破解攻击。攻击者不仅获取了root权限，还植入了挖矿程序。这个真实案例让我深刻认识到SSH安全配置的重要性。
2. SSH暴力破解攻击原理剖析
2.1 攻击实施流程
典型的SSH暴力破解攻击通常遵循以下步骤：
- 扫描探测：攻击者使用nmap等工具扫描开放22端口的IP段
- 用户枚举：通过hydra等工具尝试枚举有效用户名
- 密码爆破：使用字典文件（如rockyou.txt）进行组合尝试
- 权限提升：获取普通用户权限后尝试提权到root
- 后门植入：在~/.ssh/authorized_keys写入攻击者公钥
2.2 常见弱口令类型
根据实际攻防演练经验，最容易被破解的密码包括：
- 简单数字序列：123456、111111等
- 键盘相邻键组合：qwerty、1qaz2wsx等
- 默认密码：admin、password等
- 公司名+年份：Company2023等
- 短密码（<8位）：任何短密码无论复杂度多高都容易被爆破
3. 防御方案设计与实施
3.1 基础防护措施
3.1.1 密码策略强化
- 强制使用12位以上密码
- 要求包含大小写字母、数字和特殊字符
- 定期（90天）更换密码
- 禁止使用最近5次用过的密码
3.1.2 SSH配置优化
修改/etc/ssh/sshd_config关键参数：
Port 58222 # 修改默认端口 PermitRootLogin no # 禁止root直接登录 MaxAuthTries 3 # 限制尝试次数 LoginGraceTime 1m # 登录超时设置 PermitEmptyPasswords no # 禁止空密码 PasswordAuthentication no # 禁用密码登录（密钥登录时）3.2 高级防护方案
3.2.1 密钥登录配置
- 本地生成密钥对：
ssh-keygen -t ed25519 -C "your_email@example.com"- 上传公钥到服务器：
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 58222 user@host- 测试密钥登录：
ssh -i ~/.ssh/id_ed25519 -p 58222 user@host3.2.2 Fail2Ban部署
- 安装配置：
sudo apt install fail2ban sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local- 自定义SSH防护规则：
[sshd] enabled = true port = 58222 filter = sshd logpath = /var/log/auth.log maxretry = 3 bantime = 1h findtime = 10m4. 应急响应与问题排查
4.1 入侵检测方法
检查以下日志和文件可以发现异常：
# 检查登录记录 lastb | head -50 grep 'Failed password' /var/log/auth.log # 检查异常进程 ps auxf | grep -E '(miner|xmrig|ddgs)' # 检查定时任务 crontab -l ls -la /etc/cron.*/ # 检查SSH密钥 cat ~/.ssh/authorized_keys4.2 入侵后处理流程
- 立即断开网络连接
- 备份重要数据和日志
- 分析入侵路径和时间线
- 重装受影响系统
- 修复所有安全漏洞
- 更新所有账户凭证
5. 安全加固检查清单
5.1 新服务器部署检查项
- [ ] 修改SSH默认端口
- [ ] 禁用root远程登录
- [ ] 配置密钥登录
- [ ] 禁用密码登录
- [ ] 安装配置fail2ban
- [ ] 设置防火墙规则
- [ ] 配置日志监控
5.2 定期维护事项
- [ ] 每月检查auth.log异常登录
- [ ] 每季度更新SSH密钥对
- [ ] 每半年进行安全审计
- [ ] 每年开展渗透测试
6. 实战经验与技巧
- 密钥管理建议：
- 为不同服务器使用不同密钥对
- 密钥文件设置600权限
- 使用passphrase保护私钥
- 定期轮换密钥（建议6个月）
- 日志分析技巧：
# 统计失败登录IP grep 'Failed password' /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr # 检查可疑登录时间 last | grep -v 'reboot' | grep -v 'wtmp'- 网络层防护：
- 使用iptables限制连接频率
iptables -A INPUT -p tcp --dport 58222 -m conntrack --ctstate NEW -m recent --set iptables -A INPUT -p tcp --dport 58222 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 4 -j DROP通过这次事件，我们团队建立了完整的SSH安全管理制度，包括新服务器安全基线、定期审计机制和应急响应流程。特别提醒各位开发者，测试服务器往往因为"临时使用"心理而忽视安全配置，反而更容易成为攻击入口。安全无小事，防患于未然才是最佳实践。
