OpenClaw 深度安全审计报告（红蓝对抗版）

# 攻击进程 
root 4029 0.0 0.0 7872 2528 pts/1 S 06:21 0:00 bash test_attack_scenarios.sh 
# 恶意日志 
/tmp/.mal_log: 显示从06:22到06:33每分钟执行一次

# 1. 立即终止攻击进程
sudo kill -9 4029
sudo pkill -f "test_attack_scenarios.sh"

# 2. 清理恶意文件
sudo rm -f /tmp/.mal_log
sudo rm -rf /tmp/jiti/

# 3. 检查其他恶意文件
sudo find /tmp /var/tmp -name ".*" -o -name "*backdoor*" -exec rm -rf {} \;

/etc/ssh/sshd_config:
PermitRootLogin yes
PasswordAuthentication yes

# 1. 禁用root登录和密码认证
sudo sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sudo sed -i 's/^PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

# 2. 重启SSH服务
sudo systemctl restart sshd

# 3. 验证配置
sudo grep -E "PermitRootLogin|PasswordAuthentication" /etc/ssh/sshd_config

# 1. 安装UFW防火墙
sudo apt update && sudo apt install ufw -y

# 2. 配置防火墙规则
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow 18789/tcp  # OpenClaw Gateway
sudo ufw --force enable

# 3. 验证状态
sudo ufw status verbose

# 监听状态
tcp   LISTEN 0      511          0.0.0.0:80         0.0.0.0:*
tcp   LISTEN 0      511          0.0.0.0:443        0.0.0.0:*

# 1. 检查运行的服务
sudo ss -tulnp | grep ":80\|:443"

# 2. 配置服务仅本地访问或添加认证
# (根据实际运行的服务调整配置)

"auth": {
  "mode": "token",
  "token": "d687662349dcd4820ff26cf8b2a0451527f262926600f208"
}

[阶段1: 初始访问]
攻击者通过SSH弱密码获取root权限
↓
[阶段2: 代码执行]
部署 test_attack_scenarios.sh 攻击脚本
↓  
[阶段3: 持久化]
设置定时任务或循环执行恶意载荷
↓
[阶段4: 命令与控制]
建立反向连接或等待后续指令
↓
[阶段5: 横向移动]
尝试内网扫描或其他系统攻击

[已发生] SSH暴力破解成功 → root权限获取
    ↓
[已发生] 部署恶意脚本 → 建立持久化后门  
    ↓
[可能发生] 内网扫描 → 发现其他脆弱系统
    ↓  
[可能发生] 横向移动 → 攻陷整个网络
    ↓
[可能发生] 数据窃取 → 敏感信息泄露
    ↓
[可能发生] 勒索加密 → 业务中断

# 1.1 终止所有攻击进程
sudo kill -9 4029
sudo pkill -f "malicious"
sudo pkill -f "backdoor"

# 1.2 清理恶意文件
sudo rm -f /tmp/.mal_log
sudo rm -rf /tmp/jiti/
sudo find /tmp /var/tmp -name ".*" -type f -exec rm -f {} \;

# 1.3 检查并清理crontab
sudo crontab -l | grep -v "test_attack" | sudo crontab -
sudo rm -f /etc/cron.d/*test_attack* 2>/dev/null

# 1.4 检查系统服务
sudo systemctl list-units --type=service | grep -i suspicious

# 2.1 立即安装防火墙
sudo apt update && sudo apt install ufw -y

# 2.2 配置最小化访问规则
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow 18789/tcp
sudo ufw --force enable

# 2.3 检查异常连接并阻断
sudo ss -tupn | grep "192.168.**.**" | awk '{print $6}' | cut -d: -f2 | xargs -I{} sudo ufw deny from 192.168.**.** to any port {}

# 3.1 修改SSH配置
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup.$(date +%s)
sudo sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sudo sed -i 's/^PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#Port 22/Port 2222/' /etc/ssh/sshd_config  # 修改端口

# 3.2 重启SSH服务
sudo systemctl restart sshd

# 3.3 更新防火墙规则
sudo ufw allow 2222/tcp
sudo ufw delete allow 22/tcp

# 1.1 安装安全扫描工具
sudo apt install rkhunter chkrootkit lynis -y

# 1.2 执行Rootkit扫描
sudo rkhunter --check --sk

# 1.3 执行系统安全审计
sudo lynis audit system

# 1.4 检查文件完整性
sudo find / -type f -perm -4000 -o -perm -2000 2>/dev/null | tee /tmp/suid_files.txt

# 2.1 检查所有用户
sudo awk -F: '$3 == 0 && $1 != "root" {print "异常UID0用户:", $1}' /etc/passwd

# 2.2 锁定系统账户
for user in daemon bin sys sync games man lp mail news uucp proxy www-data backup list irc _apt nobody; do
    sudo passwd -l $user 2>/dev/null || true
done

# 2.3 检查sudo权限
sudo grep -r "NOPASSWD" /etc/sudoers* /etc/sudoers.d/*

# 3.1 安装基础监控
sudo apt install auditd -y

# 3.2 配置关键文件监控
sudo auditctl -w /etc/passwd -p wa -k identity_access
sudo auditctl -w /etc/shadow -p wa -k identity_access
sudo auditctl -w /etc/ssh/sshd_config -p wa -k ssh_config

# 3.3 启用audit日志
sudo systemctl enable auditd
sudo systemctl start auditd

# 验证攻击进程已终止
ps aux | grep -E "4029|test_attack"

# 验证恶意文件已清理
ls -la /tmp/.mal_log 2>/dev/null || echo "文件已清理"

# 验证防火墙状态
sudo ufw status verbose

# 验证SSH配置
sudo grep -E "PermitRootLogin|PasswordAuthentication|^Port" /etc/ssh/sshd_config

# 运行完整系统审计
sudo lynis audit system --quick

# 检查内核模块
lsmod | grep -i suspicious

# 检查启动项
sudo systemctl list-unit-files --type=service | grep enabled
sudo ls -la /etc/rc*.d/