SSH服务器被暴力破解

Question

假设一个攻击者通过对服务器场景SSH服务暴力破解成功进入了服务器怎么才能知道攻击者的IP和攻击者爆破使用的用户名？

Answer 1

一般地在/var/log/secure可以看到登陆的情况，在/var/log/btmp中可以查看到登陆失败的记录（可通过lastb命令进行检查），在/var/log/lastlog中可以查看最近登陆的记录 （可通过last命令进行检查），也可通过who检查当前在线用户如果在ssh的配置文件里（一般在/etc/ssh/sshd_config）和syslog配置文件中对日志文件做过定制的话那么需要根据具体情况定位日志文件。