牛掰！SSH端口嗅探方法及其防御技术

SSH端口嗅探方法及其防御技术

众所周知，SSH是一种安全的网络协议，在本质上是安全的，不会受到网络数据包嗅探和窃听的威胁，因为该协议应用了加密技术。如果我们安全地使用SSH协议，那么遭受中间人攻击的风险确实是很小的。

然而，这并不意味着SSH是100%安全的，也无法防御所有的嗅探攻击。我们通过SSH连接到服务器时，并不意味着没有人可以看到我们正在做什么。

这篇文章的主题是关于SSH会话嗅探、SSH窥探、SSH间谍的，或者您随便怎么称呼它都可以。虽然这不是什么新鲜技术，并且已经存在了很长时间，但时常回顾一下也不是什么坏主意。

什么是SSH会话嗅探？

SSH会话嗅探通常涉及附加到一个SSH进程并拦截正在调用的系统调用，例如从键盘上读取按键，在控制台打印出字符的系统调用等。

使用strace工具，我们就可以附加到一个进程上；这是一个强大的诊断和调试工具。同时，Strace还可以跟踪一个特定进程产生或接收的系统调用和信号。

另一个可用于监视SSH会话的程序是script工具，这是一个非常有用的程序，用于记录终端会话并生成日志文件（转录）。

SSH嗅探的影响

关于SSH最令人担忧的事情之一是，当我们连接到一个远程SSH服务器时，该服务器上的任何特权用户（例如root用户）都可以窥视我们的SSH会话，包括我们要从该服务器启动的任何SSH连接。

这基本上意味着，一个恶意的管理员可以监视服务器上所有的入站和出站的SSH连接。

另一个需要意识到的问题是，如果你正在进行渗透测试，而你碰巧入侵了某些系统的root用户，这就意味着你不仅可以窥探进程，并且还可以窥探任何正在进行的SSH会话。这在渗透测试中可能会很用。

SSH间谍活动显然是一种非常强大的技术，值得我们注意。下面，让我们仔细回顾一下。

现实中的SSH会话嗅探

下面的章节包含了各种技巧，这些技巧可以用来滥用SSH连接，SSH键盘记录，SSH会话嗅探，等等，从实践的角度来看，这些技术都非常有用。

基于strace的SSH键盘记录器

下面是一个简单的例子，说明如何在一个正在进行的SSH会话中捕获按键。我们所需要的只有想要监视的SSH进程的PID：

strace -e trace=read -p 2>&1 | while read -r a; do grep '^read.*= [1-9]${}^{\prime }<<<"$a" | cut -d" -f2; done

下面的命令功能相同，但是输出的可读性略有提高：

strace -e trace=read -p 2>&1 | while read -r a; do grep '^read.*= [1-9]${}^{\prime }<<<"$a" | cut -d" -f2 | tr -d ‘\n’; done
<