继上次服务器被异常登录，我禁用密钥登录改用密钥后
依旧没有改变被异常登录的行为，哈哈，啥鸡儿情况。
我把在 claude、grok、geimi、gpt 里搜索的所有的排查病毒异常等方法都试了，显示是服务器安全的。
所以这种情况，就是服务器里被人注入了东西，随时可以登录是吧，解决办法是不是只有重装系统。
11°GRDGuardian
异常登录进来的 IP 是固定的吗？有多少 不同 IP？
11°
OP
不固定，美国日本新加坡乱七八糟每次几乎都不一样，偶尔会有重复的。
而且是这样，我几台服务器他是同时弄了，我好多台在腾讯云上，他每次登录，都是好几台同时登录。
但是服务器里资源啥的都正常感觉，里面 cpu 内存磁盘等的情况，也都没有出现过异常波动啥的。
OP
就像这样，每次 ip 都会不一样，但是几乎都是同时登录
GRDGuardian
不放心就重装系统，想控制机器不是非要远程登录，注入 web 进程也可以。一句话木马，webshell 这些。
GRDGuardian
别是你自己挂的代理吧.
你把 ssh 端口换一个试试. 然后看下防火墙的外流数据.
把 ssh 端口关了或者只对你信任的 IP 开放
密码登录被禁了，只允许使用密钥登录还被人登上来的话
下面这几个步骤挨个试试检查一下
1.last 和 lastlog 看一下最后登录的用户和 ip
2.查一下/etc/passwd 和/etc/sudoers 看看有没有啥特殊的用户
3.看一下全部可登录用户的.ssh/authorized_keys 有没有不认识的公钥
如果都是正常的，一般来说应该不会再被黑客登上去了，除非你机器上的 sshd 已经被黑客替换了或者是又被黑客启动了一个修改过的类 sshd 服务(极有可能伪装成一些其他的二进制名称，扫一下本地启动的全部端口吧，看看都什么协议，会不会有一些不认识的端口是 ssh 或者 telnet 等协议)
OP
弄来弄去，感觉看下来，到处都是虫子在爬
公有云的主机而且有公网 ip 的话，被这么扫是基操。
简单点搞，要么在云上只允许你自己的 IP 登录 ssh。
要么就试试 Fail2Ban https://github.com/fail2ban/fail2ban ， 某个 IP 多次登录失败后防火墙直接禁掉。
可以顺手给 sshd 默认的 22 端口也改掉，改掉之后也会少很多，大部分这种攻击都只会搞默认端口。
展开 2 条评论
能不能直接设置不允许境外 IP 登录？如果可以的话试试看这样有没有效果。
OP
我的一些自动化部署的，还需要从其他地方推代码到这，境外的部分还需要放开。
完了我抽空备份下数据重装下，搜来搜去，给我感觉就是，里面到处充满了其他人留的东西，但是又找不到，哈哈哈
换个磁盘，备份数据。
我朋友一台机子，一顿饭借给他的朋友了，他的朋友找了一个不靠谱的第三个人给挂码了，把 ssh root 一系列直接给禁用了，阿里云天天发警告，最后也尝试修复，找不到完全找不到，只好重新安装了
这么诡异的登录吗，直接重装系统算了
你是不是用的 22 端口，不要用 22，换成别的端口。
你看看日志 /var/log/auth 里面有完整的验证日志
如果被入侵了，天天触发告警，那这个入侵的人水平真不怎么样
直接重装系统
发表一个评论
R保持
估计是，你改了密码啥的，就发给他了可能。 不行检查下出站的内容？