用来当靶机的云服务器

去年秋天，用当我在某云厂商那儿花三十块钱买了一年最低配的靶机轻量服务器。1核1G，服务带宽3M，用当硬盘25G。靶机买它不是服务为了跑业务，就是用当当靶机用。

什么叫靶机？靶机说白了就是给攻击者打的。我在上面跑一些故意有漏洞的服务服务，SSH弱口令、用当老版本Redis、靶机没打补丁的服务Nginx，全放上去。用当目的靶机很单纯：看看到底有多少人会来扫我，用什么手法，服务从哪些IP来。

部署完第一天，我把SSH端口从22改成了2222，密码设成123456。然后什么都不做，等。

第二天早上登录上去看日志，/var/log/auth.log已经滚了好几百行。来自巴西、俄罗斯、越南的IP轮着试密码，用的字典无非是root/admin、root/123456、ubuntu/ubuntu这些。有个IP特别执着，连续试了两个小时，每秒一次，估计是脚本没设延迟。

我把这些IP拉出来查了一下。大部分是境外的VPS，少数是国内家宽。有个IP反查到是某高校的实验室网段，估计是学生拿扫描器练手，没做任何隐匿。

Redis那台更热闹。我故意不设密码，绑定0.0.0.0。第三天就被人写入了SSH公钥。攻击者动作很熟练：CONFIG SET dir /root/.ssh，CONFIG SET dbfilename authorized_keys，然后SET x "\n\nssh-rsa AAAA..."，最后SAVE。整个过程不到十秒。我盯着MONITOR的输出，感觉像在看别人拆快递。

这些自动化攻击没什么技术含量，但量是真的大。我统计了一周的数据：22端口（后来改回22试了一天）平均每天被扫3400次，2222端口每天不到200次。Redis默认端口6379每天被扫1200次左右。Nginx的/wp-login.php每天被POST大概50次，全是爆破WordPress后台的。

有个事挺有意思。我放了一个假的.env文件在web根目录，里面写了一些看起来像AWS密钥的字符串。三天后，那个文件被下载了17次。有些扫描器会专门找这个路径，拿到密钥后尝试调用AWS API。我用的假密钥，它们当然调不通，但请求记录留在了我的日志里。

当靶机这件事，成本极低，信息量却不小。你能看到互联网的“暗面”是怎么运转的——全是自动化、批量化的尝试，没有针对性，就是广撒网。偶尔碰到一个手动来的，反而觉得稀罕。

有次我故意留了个命令执行漏洞，想看看有没有人会上传webshell。等了五天，真有人传了一个PHP文件上来，文件名1.php，内容是一句话木马。我顺着他的IP反向查了一下，发现那台机器上还开着其他几个漏洞利用工具。这人应该是个刚入门的，工具包都没改配置。

后来我把这台靶机重装了，换成Windows Server。想看看RDP爆破的情况。结果比SSH还夸张，第一天就有两千多次登录失败记录。大部分用户名是Administrator，密码从P@ssw0rd到admin123都有。有个IP甚至试了Administrator/Administrator，这种组合在真实环境里基本不可能存在，但扫描器不管，先试了再说。

这台三十块钱的服务器，跑了三个月，攒了大概2G的日志。我没做任何防护，也没封任何IP。它就安安静静地待在那儿，像一个放在路边的诱捕笼。路过的虫子太多，你根本不用去追，它们自己会撞上来。

如果你也想搞一台玩玩，建议别用自己常用的云账号，单独注册一个，隔离网络。别在上面放任何真实数据。剩下的，就是看戏。