關(guān)于SSH后門木馬查殺，那SSH協(xié)議其實它是一個加密的網(wǎng)絡傳輸協(xié)議，通常咱們使用它作為linux管理使用，那它用來傳輸命令界面和遠程執(zhí)行命令，也就是咱們現(xiàn)在看到的這個界面，通常計算機被入侵之后，如果這個計算機是暴露在外網(wǎng)的，或者是橫向打穿了某一臺服務器，以另一臺服務器作為跳板跳到其他服務器上。一般來說，通過SSH登錄會非常的方便操作命令這個時候是不是就有后門的誕生了。
比如我現(xiàn)在想要登錄這臺服務器，我就有賬號密碼，那看一下咱們現(xiàn)在這里有什么賬戶，只有一個whale Labe，這個賬戶就是咱們目前登錄的，那攻擊者新創(chuàng)建一個賬戶可不可能，那是可以的，比如我現(xiàn)在創(chuàng)建一個叫hack，現(xiàn)在新建了一個賬戶，現(xiàn)在看不到，那這是第一種看到賬戶的方法。來看一下第二種，看這里邊有兩個賬戶，其中是whale label和hack，hack我其實沒有設置密碼，這里就不設置了。我給大家說的是這個文件里可以看到所有的賬戶 Linux是通過讀取這個文件找到賬戶的，所以所有的賬戶必須在passwd里邊。如果計算機多出來的用戶，它一定在這里仔細排查這些賬戶，如果不是公司使用的賬戶，那么及時和運維確認，看一下普及一下后邊的一個小知識。
咱們可以看到后邊有一些東西，那這都是做什么的，看bin，這也是咱們最常見的bin/bash，就是咱們的現(xiàn)在的命令操作這塊，它通過這個bash去執(zhí)行你的命令和腳本，那你登錄的時候其實進入執(zhí)行的程序，其實用戶空間就叫做bin。當然還有一些其他的第二個bin files，這個就是不可登錄的賬戶，比如這個賬戶它雖然存在，但是以這個為后綴的是不能登錄的，可以看看最近的登錄記錄命令為last，看有無可以人認的登錄，然后對比下bin目錄下的bash有無被替換，然后再看下sshd的進程有無向外自動連接之類的，如果還是找不到服務器中的木馬后門的話可以向網(wǎng)站漏洞修復服務商尋求技術(shù)支持。
