ssh弱口令渗透测试

凌晨两点，口令我盯着终端里滚动的渗透日志，心跳漏了一拍。测试目标服务器上，口令`root`账号的渗透密码是`123456`。这不是测试电影桥段，是口令我在一次授权测试中遇到的真实案例——对方是一家拥有数十万用户数据的电商平台。

SSH弱口令，渗透听起来像老生常谈，测试可它至今仍是口令内网失守的第一块多米诺骨牌。攻击者不需要0day，渗透不需要钓鱼邮件，测试只需要一把“万能钥匙”：密码字典。口令我见过太多运维人员把`P@ssw0rd`改成`P@ssw0rd1`，渗透自以为聪明，测试实则只是给字典加了个词条。

测试过程本身枯燥得近乎乏味。用Hydra或Medusa跑字典，线程开到32，目标IP的22端口像一台永不停歇的自动售货机，吞吐着“认证失败”的提示。但真正的技术含量在于“绕过”：比如，如何规避fail2ban的封禁策略？简单，轮换源IP，或者干脆用慢速扫描——每分钟只试三个密码，让日志淹没在正常流量里。更脏的招数是利用SSH的`MaxAuthTries`参数，默认允许6次尝试，但有些管理员会把它调到10，甚至干脆注释掉。

有个细节容易被忽略：弱口令不只是“密码太短”。我曾在某政府网站的后台发现，SSH密钥文件`id_rsa`的权限是644，任何本地用户都能读取。这比弱口令更致命——攻击者拿到私钥，等于拿到了永久通行证，连爆破的力气都省了。你看，安全漏洞往往藏在“配置习惯”里，而不是技术难度上。

真正让我后背发凉的，是拿到shell之后的事。那次测试，我用`root:toor`登录成功，系统提示“上次登录：3天前，来自192.168.1.23”。这意味着，我不是第一个进来的人。检查`.bash_history`，发现有人已经下载了`/etc/shadow`，还装了`tcpdump`在抓包。弱口令只是一个入口，真正的危险是——你不知道有多少人从这扇门进来过，又带走了什么。

防御方总爱问：“我该怎么防？”我的回答是：别只盯着密码强度。强制使用密钥登录是第一道闸，但更要紧的是监控登录行为——比如，一个账号在凌晨3点从境外IP登录，即使密码正确，也该触发告警。别依赖“密码复杂度策略”，那玩意儿只会逼着员工把密码写在便签纸上，贴在显示器边框。

那次测试结束后，我建议客户做三件事：关掉密码登录，只留密钥；把`PermitRootLogin`改成`prohibit-password`；部署一个简单的登录脚本，在`/var/log/auth.log`里实时抓取“Failed password”关键字，超过5次就自动拉黑IP。客户技术负责人听完，皱眉头说：“太麻烦了，我们运维团队忙不过来。”

三个月后，那家电商平台被拖库了。溯源报告里写着：“攻击者通过SSH弱口令获得root权限，植入挖矿木马，随后横向移动至数据库服务器。”你看，安全从来不是技术问题，是态度问题。弱口令就像家里门锁是纸糊的——你装再好的防盗门，也拦不住一个推门就进的人。