1. 攻击链还原信息收集 (低成本)攻击者使用masscan、nmap等工具对目标IP段进行端口扫描发现一台服务器测试服开放了22端口。暴力破解 (极低成本)攻击者使用hydra、medusa等工具加载常见的用户名列表如root, admin, test, dev, git和弱口令字典如123456, admin, password, {用户名}123, {用户名}2024对SSH服务进行自动化爆破。入侵成功由于测试服账户dev的密码设置为devtest该密码在字典中攻击者在数分钟至数小时内成功登录。权限提升与维持登录后攻击者尝试提权如利用本地内核漏洞并立即进行权限维持操作写入SSH公钥在~/.ssh/authorized_keys文件中添加自己的公钥实现免密登录。创建隐藏后门账户例如使用useradd -o -u 0 -g root -G root -M -s /bin/bash -d /home/systemd命令创建一个UID为0root权限的隐藏账户。植入定时任务在/etc/cron.hourly/或用户crontab中写入恶意脚本用于持久化或下载后续攻击载荷。2. 应急响应中发现的关键痕迹日志证据在/var/log/secure或/var/log/auth.log中发现大量来自单一IP或僵尸网络IP的失败登录尝试最终有一条成功登录记录。异常进程与文件发现未知的挖矿进程如kdevtmpfsi、可疑的定时任务、或/tmp目录下的异常可执行文件。网络连接使用netstat或ss命令发现服务器向未知外网地址如矿池地址发起连接。3. 深度防御建议针对此攻击链前置防线杜绝弱口令强制使用长度大于12位、包含大小写字母、数字和特殊字符的复杂密码。更佳实践彻底禁用密码登录强制使用SSH密钥对认证。这是防御爆破最有效的手段。访问控制缩小攻击面使用防火墙如iptables、firewalld或安全组策略将SSH访问源IP限制为仅允许运维人员IP或堡垒机IP。修改SSH默认端口但非根本性安全措施配合其他手段使用。主动监控及时告警部署日志审计系统对SSH登录失败频率设置阈值告警如“5分钟内失败30次”。使用HIDS主机入侵检测系统监控/etc/passwd、/etc/shadow、authorized_keys等关键文件的异常修改。入侵假设定期排查定期使用last、lastb命令检查登录历史。使用rkhunter、chkrootkit等工具进行后门扫描。这个案例清晰地展示了安全意识的缺失使用弱口令和基础防护的缺席开放公网SSH且无限次尝试是导致“低成本”攻防失衡的核心。测试服的安全基线应与生产服对齐。