Linux 伺服器發現非授權登入用戶的緊急處理與排查流程

第一步：確認線上用戶

w

輸出包含：用戶名、TTY、登入時間、閒置時間、執行程序。重點關注陌生帳號或異常來源 IP。

第二步：立即踢出入侵者

方法一：使用 pkill 按終端機踢出

pkill -kill -t pts/1

pts/1 為 w 顯示的 TTY 欄位值。

方法二：使用 fuser 強制釋放裝置

fuser -k /dev/pts/1

第三步：封鎖帳號防止再次登入

方案 A：鎖定密碼

vi /etc/passwd
# 將該用戶第 2 欄密碼欄改為 * 
# 例：hacker:*:1001:1001::/home/hacker:/bin/bash

方案 B：修改 Shell 為 nologin

usermod -s /sbin/nologin hacker

或手動編輯 /etc/passwd 將最後一欄改為 /sbin/nologin。

第四步：事後審計與加固

• 檢查 /var/log/secure 或 /var/log/auth.log 登入紀錄
• 排查是否有 SSH 金鑰被植入 ~/.ssh/authorized_keys
• 檢查排程任務 crontab -l、/etc/cron* 是否有異常
• 執行 chkrootkit、rkhunter 掃描 Rootkit
• 修改所有系統帳號密碼，啟用雙因子認證

預防勝於治療

1. 修改 SSH 連接埠、禁用密碼登入
2. 部署 Fail2ban / SSHGuard 自動封鎖
3. 定期審核 /etc/passwd、/etc/shadow 異常帳號
4. 啟用 Auditd 審計關鍵系統呼叫