被国外 ip 连了 SSH, 但是"who"命令结果里显示没有该 ip 的终端.

[chackchackGO]

这是怎么回事?

[Qetesh]

系统命令被劫持了，可以用 busybox

[chackchackGO]

@Qetesh 有什么溯源思路吗? 我想知道什么时候被劫持的之类的信息.

[chackchackGO]

@Qetesh 在排查连接对应的 PID 了, 但是 lsof 回显没什么东西, 很奇怪.

[yinmin]

TCP 有链接，有没有可能那个国外 ip 尝试登录，但是一直没成功。

[wdlth]

应该扫描器吧，可以用 lastb 看看有没有登录失败的。
现在扫描的很多，建议装 fail2ban 之类的限制一下。

[chackchackGO]

@wdlth
@yinmin
看了一下 auth.log. 爆破 2 天 2 夜了. 我没了解到这些爆破脚本原来能接受这么长时间的尝试爆破.

[patrickyoung]

提供有偿应急处置服务，Best-Effort Delivery, 如果确认登录成功的话就只剩备份重装的份了。

[qfdk]

来吧 前几天刚把坑补上 https://github.com/qfdk/anubis 可以拿去试试

[qfdk]

配合 https://github.com/qfdk/uranus 也是有奇效的

[flynaj]

就是一直在登录但是没有成功，当然 who 不出来。改一下 ssh 端口。