佛系程序员_ 阿里云ECS服务器SSH暴力扫描应急处置实录

学习笔记

发布日期: 2025-12-08 19:12:21

喜欢量: 7 个

阅读次数: 79

本文记录了阿里云ECS服务器遭到SSH暴力扫描攻击应急处置实录，并分析攻击者原因。

**作为一名中小企业技术服务开发者，最近在维护阿里云ECS服务器时，遭遇了一波SSH暴力扫描攻击，最终通过多维度防护彻底解决问题，现将完整处置过程分享给有类似困扰的运维同行。

## 一、事件起因：阿里云告警触发的应急响应
这几天，我频频收到阿里云安全中心的告警通知，提示服务器出现“多次Web应用创建异常子进程”的中危风险，告警信息中还显示有进程通过`wget`向外发送`/root/.bash_history`中的敏感数据。

紧急登录阿里云控制台后，发现无法直接在后台中止异常进程。进一步查看服务器环境，这台ECS仅部署了宝塔面板，且只运行着一个PHP业务项目，无Docker容器等复杂架构，初步判断风险源于服务器SSH端口的外部攻击。

## 二、排查过程：从日志定位攻击源头
为确认攻击类型，我通过宝塔面板的内置终端，执行了一系列登录日志排查命令，逐步摸清了攻击态势：
1. **查看整体登录记录**：执行`last`命令，筛选出所有远程登录行为（`last | grep -v "tty"`），未发现陌生IP的成功登录记录；
2. **核查登录失败日志**：通过`lastb`命令查看失败登录记录，结果触目惊心——日志中充斥着来自64.62.x.x、125.208.x.x等多个IP段的登录尝试，攻击者遍历了`admin`、`test`、`mysql`等数十个常见用户名，发起高频暴力破解与用户名枚举扫描。

**从 lastb 输出能明确看到你的服务器正遭受大规模 SSH 用户名枚举 + 暴力破解扫描，但核心结论是：所有登录尝试均失败，暂无恶意登录成功的情况，不过这类高频扫描会持续消耗服务器资源，且存在后续突破风险，需立即按以下步骤加固。**

这些日志明确指向：服务器正遭受针对SSH服务的分布式扫描攻击，虽暂未成功入侵，但持续的扫描请求已开始消耗服务器资源，且存在后续突破风险。

## 三、处置方案：三层防护彻底阻断攻击
结合自身“平时无需SSH远程登录”的业务需求，我制定了“端口封禁+服务关停+云安全组加固”的三层防护方案，从入口到服务彻底切断攻击路径。

### 1. 宝塔防火墙层面：禁用22端口
登录宝塔面板，进入**安全-防火墙**模块，在端口规则中直接将22端口设置为“拒绝”，同时开启面板自带的“SSH暴力破解防护”，让面板自动拦截高频攻击IP，从服务器本地层面阻断SSH访问请求。

### 2. 系统层面：彻底关停sshd服务
仅封禁端口无法彻底消除sshd服务的资源消耗，我通过终端执行命令，彻底关停并禁用SSH服务：
```bash
# 停止sshd服务
systemctl stop sshd 
# 禁用开机自启，避免重启后服务恢复
systemctl disable sshd
# 确认服务状态（显示inactive则为关停成功）
systemctl status sshd
# 验证22端口是否已无监听
ss -tuln | grep 22
# 统计失败登录次数，监测防护效果
lastb | wc -l
```
执行完上述命令后，sshd服务彻底停止，22端口无监听状态，失败登录请求数也开始断崖式下降。

### 3. 云安全组层面：筑牢外层防护
为避免攻击者绕过服务器本地防火墙，我登录阿里云ECS控制台，进入**安全组配置**模块，在入站规则中直接添加“拒绝所有IP访问22端口”的策略，从云网络层面形成防护闭环，彻底杜绝SSH端口的外部访问。

## 四、防护效果与后续建议
### 1. 效果验证
处置完成后，再次执行`lastb | wc -l`，失败登录记录数趋近于0；通过`top`查看系统资源，sshd进程已无资源占用，服务器负载恢复正常，阿里云安全中心也未再触发相关告警。

### 2. 通用运维建议
1. **按需关停服务**：若无需SSH远程管理，直接关停sshd服务是最省心的防护方式，可通过宝塔内置Web终端完成日常命令执行；
2. **多层防护叠加**：本地防火墙、系统服务管控、云安全组需协同配置，形成“外网-服务器-服务”的三层拦截；
3. **定期核查日志**：通过`last`、`lastb`定期排查登录记录，及时发现潜在的攻击试探；
4. **面板安全加固**：宝塔面板需修改默认端口、开启登录验证、设置访问授权IP，避免面板成为新的攻击入口。

此次事件也让我意识到，中小企业服务器运维的核心是“最小权限+多层防护”，无需的服务果断关停，必要的端口严格管控，才能以最低成本筑牢安全防线。

# 他们为什么会对别人的服务器进行攻击？

攻击者针对你的服务器发起SSH暴力扫描和异常进程攻击，本质是为了**获取服务器控制权、窃取数据或利用服务器资源牟利**，具体动机可分为以下几类，结合你的服务器场景逐一拆解：

### 一、最核心动机：夺取服务器控制权，进行后续牟利
1. **搭建“肉鸡”，用于流量攻击**
    一旦攻破你的服务器，攻击者会将其纳入“僵尸网络”（Botnet），利用服务器的带宽和算力发起DDoS攻击（比如攻击电商平台、游戏服务器），再向被攻击方勒索赎金，或向雇佣者收取佣金。你的ECS服务器有公网IP和基础算力，是这类攻击的常见目标。

2. **挖矿牟利**
    服务器的CPU/GPU资源是攻击者的“香饽饽”。他们拿到控制权后，会偷偷部署门罗币、以太坊等加密货币挖矿程序，在后台消耗服务器算力挖矿，而你会面临服务器卡顿、带宽飙升、云服务商高额账单等问题。这类行为对攻击者几乎零成本，却能持续获利。

3. **作为跳板攻击其他目标**
    你的服务器可被用作“代理跳板”，攻击者会通过它发起对其他企业/个人服务器的攻击，隐藏自身真实IP。比如用你的服务器扫描中小企业内网、尝试破解其他系统，即使被溯源，也只会定位到你的服务器，而非攻击者本人。

### 二、针对性动机：窃取你的服务器内敏感数据
1. **窃取业务/用户数据**
    你的服务器部署了PHP项目（大概率是中小企业业务系统），攻击者可能试图获取项目数据库中的**用户信息、交易数据、企业机密**等。这些数据可在黑产市场售卖（比如用户手机号、邮箱信息），或直接向企业勒索（不付钱就泄露数据）。

2. **窃取服务器/云资源凭证**
    告警中提到攻击者试图读取`/root/.bash_history`，核心目的就是获取你在服务器上的操作记录——比如阿里云AccessKey、数据库密码、宝塔面板账号、业务系统后台密钥等。拿到这些凭证后，攻击者可直接登录你的云控制台，窃取云资源（如ECS、OSS存储），甚至转移你的云账号资产。

### 三、随机性动机：自动化扫描的“无差别攻击”
你的服务器并非被“精准盯上”，更多是遭遇了**自动化扫描工具的无差别探测**：
1. 攻击者会编写批量扫描程序，遍历全网公网IP的22端口（SSH默认端口），尝试“弱密码+常见用户名”（如admin/root/test）组合爆破。你的服务器只是扫描范围内的一个“目标点”，而非针对性攻击。
2. 这类扫描工具通常由黑客团队或黑产平台维护，每天扫描数十万IP，只要有一台服务器存在弱密码/开放SSH，就能实现“以量取胜”的攻击效果，对攻击者而言是低投入高回报的操作。

### 四、补充：为什么会盯上“中小企业服务器”
你的服务器是典型的中小企业/个人运维场景（宝塔面板+单PHP项目），这类服务器往往存在以下“易攻特性”，成为攻击者首选：
1. **安全配置较简单**：很多中小企业为了方便运维，会保留SSH默认端口、使用弱密码，甚至开启root直接登录；
2. **运维资源不足**：缺乏专业安全团队，难以及时发现和处置攻击，给攻击者留下足够的试探时间；
3. **业务数据有价值**：即使是小型PHP项目，也可能存储企业客户信息、订单数据等，具备一定黑产交易价值。

### 总结
攻击者的核心逻辑是**“低成本试探，高回报牟利”**：先用自动化工具扫描SSH端口，试图获取服务器控制权，再通过挖矿、流量攻击、数据窃取等方式变现。你通过关停SSH服务、封禁22端口的操作，恰好切断了最关键的攻击入口，从根源上瓦解了攻击者的牟利路径。

需要我帮你整理一份**服务器敏感数据自查清单**，排查PHP项目和服务器内是否有遗留的密钥、密码等高危信息吗？

yyii

https://amtb.info/show/MjY4

本博客所有文章除特別声明外,转载请注明来源佛系程序员 !