攻击CentOS

凌晨两点十七分，攻击我的攻击终端屏幕上跳出一行绿字：Connection closed by remote host。服务器管理员账号被锁定，攻击SSH日志里全是攻击失败的密码尝试——从巴西圣保罗、韩国首尔、攻击再到俄罗斯新西伯利亚，攻击三百多个IP轮番轰炸。攻击这不是攻击电影，这是攻击上周我亲手部署的一台CentOS 7机器遭遇的真实攻击。

攻击CentOS，攻击比大多数人想象得简单。攻击默认安装的攻击CentOS就像一栋没锁门的房子——防火墙开着，但22端口总是攻击暴露在外。我见过太多管理员犯同一个错：装完系统后直接跑yum update，攻击然后就把服务器扔进机房，攻击觉得万事大吉。他们不知道，sshd默认允许root登录，默认支持密码认证，默认没有fail2ban。这些“默认”就是攻击者的后花园。

最讽刺的是，我那次被攻破的原因不是漏洞利用，而是弱口令。对方用hydra跑了不到半小时，就试出了admin:123456。事后我查日志，发现攻击者登录后第一件事就是下载挖矿脚本，接着修改crontab做持久化，最后清理了/var/log/secure。整个过程不到四分钟。四分钟，足够让一台配置不错的服务器变成别人的钱袋子。

但别误会，我不是在教你做坏事。恰恰相反——你要想守住CentOS，就得先学会像攻击者一样思考。我有个习惯：每装一台新服务器，先自己黑一遍。用nmap扫开放端口，用msfconsole试试已知漏洞，甚至手动检查/etc/shadow的权限。这些动作让我比攻击者更早发现自己的弱点。

真正专业的安全运维，从来不依赖“防御软件”这种心理安慰。他们做的是减法：sshd_config里禁用root登录、改掉默认端口、装key-only认证；firewalld只放行必要端口；selinux保持enforcing；再用auditd监控关键文件变更。这套组合拳打下来，大部分脚本小子会在第一步就放弃。

说个具体案例。上个月我帮朋友处理一台被入侵的CentOS 8，攻击者留了后门——一个伪装成/lib/systemd/system/network.service的恶意服务。普通排查根本发现不了，因为ps aux看不到独立进程。最后我用rpm -Va校验系统文件完整性，才揪出那个被篡改的二进制。这提醒我：CentOS的包管理器本身就是最好的完整性检查工具，可惜很少有人用。

攻击CentOS的本质，是攻击人的懒惰。系统补丁不及时打、密码强度不检查、日志从不翻看——这些习惯才是真正的漏洞。我见过最夸张的一次，某公司把数据库密码写在/root/readme.txt里，还顺手给了个777权限。你说这种服务器，需要什么高深黑客技术吗？

最后说句实在话：CentOS本身没那么脆弱，脆弱的是那些以为装上就安全的人。下次你登录服务器时，不妨先lastb看看有多少失败的登录尝试。如果数字超过一百，别惊讶——那只是攻击者还没得手而已。真正的安全，是从你意识到“默认配置不安全”那一刻开始的。