核心要点（TL;DR）
- 排查后门先看登录日志，重点查成功登录与异常IP。
- 进程核对关注隐藏进程、异常父进程和网络连接。
- 文件完整性检查可发现被篡改的二进制或新增恶意文件。
- 清除后门后必须加固SSH，如禁用密码登录、改端口。
痛点引入：SSH被暴力破解，你的服务器可能已沦陷
SSH是Linux服务器的生命线，但也常被暴力破解攻击。一旦攻击者猜解成功，他们往往会留下后门以维持访问。许多运维人员只关注是否被入侵，却忽略了入侵后的后门排查。本文提供一套实战导向的排查流程，通过登录日志与进程逐项核对，帮你确认服务器是否被植入后门，并给出具体命令和检查清单。
第一步：分析登录日志，确认入侵痕迹
登录日志是排查的第一现场。Linux系统通常将SSH登录记录在/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（CentOS/RHEL）。使用以下命令快速筛选成功登录：
grep "Accepted" /var/log/auth.log重点关注陌生IP、非工作时间登录、以及多次失败后突然成功的记录。同时使用last命令查看成功登录历史，lastb查看失败尝试。若发现异常IP，立即封禁并进一步检查该IP的活动。
此外，检查/var/log/wtmp和/var/log/btmp是否被篡改，可用last -f /var/log/wtmp验证。
第二步：进程与网络连接核对，发现隐藏后门
攻击者常通过进程隐藏或伪装来驻留。使用ps auxf查看进程树，关注以下异常：
- 进程名伪装成系统进程（如
kworker但路径为/tmp） - 父进程为1或sshd，但命令行可疑
- CPU或内存占用异常高
- 监听陌生端口
结合netstat -tunp或ss -tunp查看网络连接，注意ESTABLISHED状态连接到陌生IP的进程。使用lsof -i交叉验证。对于隐藏进程，可比较ps与/proc目录下的PID，若数量不一致则可能存在隐藏进程。
检查计划任务：crontab -l、ls -la /etc/cron.*，以及/etc/rc.local、/etc/init.d/下的启动脚本，寻找可疑条目。
第三步：文件与账户完整性检查
后门常伴随文件篡改。使用包管理器校验文件完整性：
rpm -Va # CentOS/RHEL
dpkg -V # Debian/Ubuntu检查关键文件是否被修改：/etc/passwd、/etc/shadow、/etc/sudoers、~/.ssh/authorized_keys。查找近期修改的文件：
find / -type f -mtime -7 -ls使用chkrootkit和rkhunter扫描rootkit。同时检查系统账户，删除未知UID为0的账户。
第四步：清除后门与加固SSH
确认后门后，先隔离主机（断网但保留内存），备份日志和进程信息。然后终止恶意进程（kill -9 PID），删除后门文件，清除恶意账户和计划任务。最后修复漏洞并加固SSH：
- 禁用密码登录：
PasswordAuthentication no - 启用密钥认证
- 修改默认端口
- 限制访问IP（防火墙或
/etc/hosts.allow） - 安装fail2ban自动封禁
在防护建议方面，AegisX可提供实时入侵检测和自动封禁能力，帮助您持续监控异常登录和进程行为。
检查清单与对比表格
以下为快速检查清单：
| 检查项 | 命令/文件 | 正常表现 |
|---|---|---|
| 成功登录IP | grep "Accepted" /var/log/auth.log | 仅已知IP |
| 异常进程 | ps auxf | 无陌生进程 |
| 网络连接 | ss -tunp | 无陌生外连 |
| 计划任务 | crontab -l | 无未知任务 |
| 文件完整性 | rpm -Va | 无异常修改 |
行动建议：立即按照上述步骤排查，若发现后门，彻底清除并加固系统；若未发现，也应定期检查日志和进程，防患于未然。
常见问题（FAQ）
SSH被暴力破解后，怎么知道是否成功登录了？
检查/var/log/auth.log或/var/log/secure中的“Accepted”记录，结合last和lastb命令查看成功与失败登录。重点关注陌生IP、非工作时间登录以及多次失败后突然成功的记录。
排查后门时，哪些进程需要特别关注？
关注CPU/内存占用高、名称伪装成系统进程（如kworker但路径异常）、父进程为1或sshd、监听陌生端口、以及网络连接指向可疑IP的进程。使用ps auxf、top、lsof -i和netstat -tunp交叉核对。
如何检查系统文件是否被植入后门？
使用rpm -Va或dpkg -V校验包完整性，检查/etc/passwd、/etc/crontab、~/.ssh/authorized_keys等关键文件，并用find查找近期修改的文件。也可用chkrootkit、rkhunter等工具辅助扫描。
发现后门后应该立即做什么？
先隔离主机（断网但保留内存），备份日志和进程信息，然后终止恶意进程、删除后门文件、清除恶意账户和计划任务，最后修复漏洞并加固SSH配置，如禁用密码登录、启用密钥认证、修改默认端口。
如何预防SSH暴力破解？
禁用密码登录，使用密钥认证；修改默认端口；限制访问IP（防火墙或hosts.allow）；安装fail2ban自动封禁；定期更新系统；启用双因素认证。AegisX可提供实时入侵检测和自动封禁能力。