凌晨两点，运维人员发现一台生产服务器出现陌生公钥登录，OpenSSH认证日志显示密码连续失败后却成功建立了会话。更棘手的是，攻击者已经执行了下载、提权和清理命令，原有登录时间线被伪造，业务进程也可能被替换。若此时只删除一个可疑账号、改写一条规则，不仅无法确认入侵范围，还会把关键证据一并抹掉。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：backwaves（订阅账号服务），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、登录时间线：先证明谁在何时进入
取证的第一步不是根据进程列表猜攻击者，而是把认证事件、登录会话和系统活动按统一时区排列。应同时收集OpenSSH认证日志、wtmp、btmp、last、当前登录用户及进程启动时间，避免只盯着最近一次登录。密码失败、公开密钥成功、重复会话、异常来源地址和非常规时间段，应分别标记；失败突然转成功、同一账号出现多个公钥、来源IP与业务网络不符，往往比一条“Accepted”记录更值得关注。
时间线要区分“认证成功”和“命令已经执行”。可结合systemd日志、auditd记录、shell历史、文件时间戳及网络连接，将登录、提权、下载、修改配置、断开连接串成事件链。若日志出现时间跳变，要检查时区、NTP、夏令时和日志轮转造成的误差，不能把时钟漂移直接判成攻击。原始日志应只读保存并计算哈希，分析副本不能覆盖证据；导出内容也要记录来源主机、采集时间和工具版本。
会话层还要核对TTY、终端类型、父进程和退出顺序。异常会话追踪不能只看当前连接，还要查找已经断开的残留SSH、tmux、screen、转发端口和后台任务。对于公钥登录，应使用密钥指纹校验比对authorized_keys、证书和密钥分发记录；文件名相似不代表密钥可信，指纹不一致才是强信号。
二、命令与持久化：用行为判断隐藏入口
命令痕迹通常散落在bash历史、审计日志、进程参数、临时目录、下载缓存和业务日志中。攻击者常用无历史模式执行命令，也可能删除历史或伪造时间，因此要交叉检查命令内容、执行账号、文件创建时间、父子进程关系及网络流量。发现curl、wget、base64解码、chmod、chattr、kill或清理日志等组合行为时，应判断其上下文，而不是看到单个工具就定性。
持久化入口审计应覆盖authorized_keys、sudoers、cron、systemd服务与定时器、SSH配置、shell启动文件、容器挂载、内核模块和新增账号。对每项变更追查“谁、何时、从哪里、依据什么授权”，并与基线及变更工单核对。尤其要检查仅管理员可写目录中的脚本、计划任务反向命令、端口转发和退出后仍存活的进程，防止删除登录密钥后仍被重新拉起。
完成判断后，按顺序执行：止损，隔离异常来源、冻结可疑会话并阻断回连地址；凭证轮换，更换SSH私钥、密码、API令牌和关联云凭证，撤销旧公钥及会话票据；恢复验证，重装或从可信镜像恢复关键组件，复查账号、密钥、计划任务、服务、网络连接和日志完整性。只有在登录时间线、命令痕迹、持久化入口三类证据互相印证，且轮换后的凭证无法复现旧会话，才可关闭事件。
还原登录时间线与异常会话
OpenSSH 的取证不能只看“登录成功”记录，还要把 认证日志、系统账号日志、进程树和登录终端串成完整时间线。常见字段包括时间、来源地址、目标账号、认证方式、失败原因、会话编号、进程号及终端设备。将 sshd、sudo、su 等事件按统一时区排序，并记录系统时钟偏差，避免跨时区或夏令时造成误判。
密钥排查应优先核验 密钥指纹，不要相信文件名、注释或来源 IP。可对比 authorized_keys、known_hosts、用户目录中的密钥文件及密钥代理中的条目，确认公钥算法、指纹、添加时间和实际登录会话是否对应。私钥是否被复制通常无法仅靠服务器日志证明，因此还要检查密钥是否仍在本机存在、是否被加入启动脚本或共享目录。
异常会话追踪要覆盖会话建立、命令执行和退出三个阶段。结合 ps、last、wtmp、btmp、审计日志及 Shell 历史，查找异常的 父子进程关系、反弹连接、下载行为和长时间无交互终端。对已结束的会话，还应检查历史文件是否被删除或时间戳被篡改。
持久化入口审计与恢复检查清单
攻击者取得 SSH 权限后，常通过新增公钥、修改 authorized_keys、植入计划任务、创建 systemd 服务、劫持 Shell 配置、替换二进制或写入启动目录实现持久化。审计时应对照软件包校验结果、文件时间、属主权限和最近修改记录，重点查看用户级与系统级 Cron、systemd 单元、Shell 启动文件、sudoers 以及 SSH 服务配置。
恢复前先隔离主机并保全内存、进程、磁盘和网络证据，避免直接重启造成线索消失。随后撤销可疑公钥和令牌，轮换密码、恢复密钥及受信任主机指纹，修复启动项和被篡改文件，再更新系统、重新安装或校验 OpenSSH。修改 sshd_config 后应先运行语法检查，再平滑重载服务。
可执行检查清单：确认登录时间线与账号对应关系；核对所有密钥指纹；清点并吊销未知密钥；检查失败登录及来源地址；追踪异常进程和子进程；审计 Cron、systemd、Shell、sudoers；校验关键文件完整性；轮换凭据；修补漏洞；持续监控并验证恢复结果。
最终目标不是只删除一个可疑账号或密钥，而是证明所有入口均已关闭、所有异常会话均已解释、所有持久化机制均已清除，并保留可供复盘和审计的证据链。
喜欢 
顶
难过
囧
围观
无聊
