由于安全意识不足，导致机器被入侵的例子多不胜数。最近不断接到有服务器被入侵，执行文件被修改的报障。原因大多都是因为开放了SSH服务，同时允许root访问，密码又过于简单的情况。为提出更有效的防范办法，决定做个攻击模拟。以下使用的工具是relaxsan，从网上可以很方便的找到，为免影响不好，我这里就不提供了，仅做个攻击演示。

一、获取工具
首先，我不知道为什么叫relaxscan，这东西是从Google搜的，来源自chinaunix某个博客中，某被入侵所提取的代码。
里面包括pscan2和ssh-scan这两个关键程序，及一些必须的文件：

二、攻击演示
1、演示服务器

2、创建一个普通用户
这步很重要，虽然没有pscan2的源码，但基本可以肯定的是，pscan2本身具有木马的特性。千万不要以root用户执行pscan2，记住！（网上有似乎有该程序的源码，但我不能肯定是否一样，但在后面的补充内容中，我会做个简单的测试，以说明这问题。）


3、扫描特定网段
切换到test用户，把relaxscan解压出来，给pscan2 赋予可执行权限：

pscan2 的用法：

扫描10.10.10 网段：

可见，找到该网段中有两个IP打开了SSH服务。

4、攻击特定IP的SSH服务
既然找到已打开SSH服务的机器IP，那就可以用ssh-scan 进行暴力破解了。破解的关键是字典文件pass_file ，该文件决定了攻击时间的长短和成功率。可以从网上获取一堆的字典，下面是我模拟的几个用户名和密码：

※ 千万不要忽视普通用户的登录，普通用户可通过一些root exploit 漏洞提升到root权限，届时，与通过root访问也没什么差别。
把上面通过pscan2得到的IP地址段，转存为mfu.txt文件，然后开始攻击：

在被攻击端的安全日志中，会显示大量的尝试记录，类似：

攻击的密度与您给ssh-scan提供的参数有关，参数越大，尝试越频繁。从上面的日志可看到，oracle用户尝试登录成功了。
在攻击端也会显示信息：

并记录在vuln.txt 文件中：

至此，攻击算是完成了。后续的，就是用该用户登录ssh，然后尝试exploit 到root等操作，这里不再叙述。

三、破坏系统可执行文件
本来，我是希望通过这次的模拟，产生类似下面的病毒文件：

可惜没效果。但通过实验，发现pscan2和ssh-scan 确实是有问题的。
1、原系统执行文件信息
找几个系统执行文件的当前信息：

2、以root权限运行pscan2或ssh-scan
结果，系统中的一些执行文件被修改：

这些文件都被加了8192字节（某些文件会加16384字节），导致这些文件损坏了：

表现形式很像木马程序。而且这些都是基本的执行文件，结果就是系统异常，修复也很困难。幸亏没感染能力，不会大规模传播。
一般可通过rpm -Va 找出被破坏的文件，然后重新安装对应的rpm包。但手续复杂，而且不能确保修复完整。
所以，尝试relaxscan前，请务必小心哦！