继上次服务器被异常登录，我禁用密钥登录改用密钥后

[freefreesea]

依旧没有改变被异常登录的行为，哈哈，啥鸡儿情况。

我把在 claude 、grok 、geimi 、gpt 里搜索的所有的排查病毒异常等方法都试了，显示是服务器安全的。

所以这种情况，就是服务器里被人注入了东西，随时可以登录是吧，解决办法是不是只有重装系统。

[lepig]

不是专业的就别查了，直接备份重装一了百了。 免得有心理负担

[huaweii]

从你主题内容里的，「哈哈」这种描述来看，你这台服务器大概率只是是一台无关紧要的玩具。我觉得你别重装系统，接着造，机会难得😁

[freefreesea]

@huaweii 服务器还是有一点点小重要。主要是服务器里资源啥的都正常感觉，里面 cpu 内存磁盘等的情况，也都没有出现过异常波动啥的。持续小半年了，所以我一直犹犹豫豫要不要重装一下

[Astrian]

> 禁用密钥登录改用密钥

是禁用密码改用密钥？

[freefreesea]

@Astrian 嗯，密码禁了，改用密钥，没效果

[Astrian]

@freefreesea 你可以确认被异常登录是在改密钥登录之后发生的吗？如果可以确认的话，我建议你检查一下密码登录是不是真的被禁用了，有可能改了文件忘记保存或者保存了忘记重启服务之类的

[freefreesea]

@Astrian 嗯，改成密钥登录之后，之前异常登录的行为依旧没有改变。反复确认了，密码登录也禁用了。

[Astrian]

这种情况下我优先考虑你的私钥已经被泄露了。但考虑到你这台机器看上去没有什么攻击的价值，反复登录不造成太严重的后果这个不太符合普通攻击的逻辑，我还是优先认为你再检查一下其他地方，或者实际上是你自己登录但是误认了

[freefreesea]

@Astrian 我一觉睡起来，服务器被登录十几次，哎，难搞哦。平时我登录，就是我推代码的时候，自动化会登一下，然后再就是自己本机客户端登录。没其他途径触发。

[Astrian]

@freefreesea 那换一下 SSH 密钥试试

[Jesmora]

dd 一个新的试试看

[Kirkcong]

只要被黑了就需要重装系统，这是套发展了几十年的成熟产业链，你不可能摘干净的。

[anjing01]

看下登陆日志，会有密钥指纹，看看是不是你自己的密钥泄漏了，还是别人写了公钥在你机器上。
再看下 audit 日志，可能可以看到他干啥了。

[caola]

这年头我想不明白，自己查不出来为什么不重装，这迟早是一个炸弹，要是勒索病毒的话那就更严重的问题了