扫描暴露的SSH/RDP/数据库等服务→用常见弱口令字典爆破登录→植入下载器拉取僵尸网络模块→建立C2心跳并横向感染同网段其他弱口令主机。 这条链路并不依赖零日漏洞，成本极低，却是近年来多数僵尸网络规模扩张的主要方式，下面从攻击者视角拆解完整路径,并给出可落地的排查与阻断方法。
弱口令如何变成僵尸网络的“入场券”？拆解恶意样本的扩散逻辑
僵尸网络要的不是单台肉鸡，而是持续扩大的感染面，弱口令恰恰提供了“无需钓鱼、无需漏洞利用”的批量入口，攻击者通常先做两件事：资产测绘和口令爆破。
弱口令爆破的常见入口与命令实例
暴露在公网或跨网段可达的服务是首选目标,按被利用频率排序：
- SSH（22端口）：Linux服务器和网络设备管理入口,爆破工具成熟。
- RDP（3389端口）：Windows远程桌面,弱口令直接拿到图形会话。
- 数据库服务（3306/1433/5432/6379）：MySQL、MSSQL、PostgreSQL、Redis未授权或弱口令。
- Web管理后台（Tomcat/Weblogic/路由器管理页）：默认口令或简单口令。
攻击者常用命令路径如下（以Linux环境为例）：
# 扫描存活SSH服务 nmap -p22 --open 192.168.1.0/24 -oG ssh_hosts.txt # 使用常见弱口令字典爆破（hydra） hydra -L users.txt -P pass.txt ssh://192.168.1.10 -t 4 -V # 爆破成功后写入公钥实现持久化 echo "ssh-rsa AAAA... attacker@c2" >> ~/.ssh/authorized_keys
据工信部网络安全威胁共享平台近年通报，暴露在互联网上的SSH和RDP服务中，相当一部分仍使用“admin/123456”“root/root”“test/test”这类组合，业内专家指出,这类口令在自动化爆破脚本面前平均几秒到几分钟即可被命中。
样本进入后的持久化与横向移动路径
弱口令登录成功只是第一步,恶意样本要稳定驻留并扩散：
- 下载僵尸网络模块：通过
wget/curl从C2地址拉取ELF或PE样本，常见路径/tmp/.x或/var/tmp/.k。 - 建立持久化：写入cron任务（
/5 /tmp/.x）、systemd服务、注册表Run键或计划任务。 - 横向扫描：样本内置扫描器继续探测同网段其他主机的22/3389/6379端口,用同一份弱口令字典循环爆破。
- C2心跳：样本定期向硬编码域名或IP上报状态，接收DDoS、挖矿、代理转发等指令。
整个过程中，攻击者不需要交互式操作，样本自身即可完成“感染一台→扫描一片”的链式反应，行业共识认为，弱口令扩散型僵尸网络的感染周期通常比钓鱼投递更短,因为无需等待用户点击。
企业内网弱口令导致僵尸网络扩散怎么排查？从一起北京某企业事件说起
北京一家中型互联网公司曾出现内网多台Linux服务器CPU跑满、对外发起异常DNS请求的情况，安全团队回溯发现，最初是一台测试机SSH使用了“test/123456”，被外网扫描器命中后植入僵尸网络样本，随后三天内扩散到同网段十余台主机，这个场景说明：内网不等于安全区，弱口令横向移动是僵尸网络扩散的典型路径。
排查路径：从日志到流量再到主机
按以下顺序执行可快速定位：
- 认证日志：
grep "Failed password" /var/log/secure统计高频失败IP；lastb查看爆破来源。 - 登录成功记录：
last -i | head -50检查异常时间、异常源IP的登录。 - 进程与网络连接：
ps aux --sort=-%cpu | head；ss -tunp查看对外可疑连接。 - 持久化点：
crontab -l、ls /etc/cron.、systemctl list-units --type=service排查陌生任务。 - 文件落地：
find /tmp /var/tmp -type f -mtime -3 -exec ls -l {} \;查找近期释放的可执行文件。
流量侧可关注：内网主机对同一网段22/3389端口的大量SYN请求、对外固定域名的高频DNS查询、非业务端口的加密心跳。
阻断扩散的应急操作命令
发现感染主机后，先隔离再清理,避免样本继续横向扫描：
# 临时阻断该主机对同网段的22/3389扫描（在网关或主机上执行） iptables -I OUTPUT -d 192.168.1.0/24 -p tcp --dport 22 -j DROP iptables -I OUTPUT -d 192.168.1.0/24 -p tcp --dport 3389 -j DROP # 停止并删除可疑cron任务 crontab -l | grep -v '/tmp/.x' | crontab - # 结束可疑进程并删除样本 kill -9 $(pgrep -f '/tmp/.x') rm -f /tmp/.x /var/tmp/.k
随后强制全内网弱口令整改：禁用默认口令、启用复杂度策略、对SSH/RDP实施登录失败锁定和源IP白名单。
弱口令爆破与钓鱼攻击相比，哪个更容易组建僵尸网络？
从攻击者投入产出看，弱口令爆破在批量组建僵尸网络方面明显“效率更高”，但两者适用场景不同,下表列出关键维度对比：
| 对比维度 | 弱口令爆破 | 钓鱼攻击 |
|---|---|---|
| 初始入口 | 暴露的SSH/RDP/数据库服务 | 员工邮箱、即时通讯 |
| 是否需要用户交互 | 不需要 | 需要点击/打开附件 |
| 单次成功率 | 取决于口令强度，批量扫描下命中率可观 | 取决于安全意识，通常较低 |
| 横向扩散速度 | 快，样本自动扫描同网段 | 慢，依赖人工投递 |
| 攻击成本 | 低，字典和扫描器公开可得 | 中高，需域名、免杀、话术 |
| 典型僵尸网络规模 | 易形成数百至数千节点 | 易形成精准但规模较小的节点 |
行业共识认为，弱口令路径的优势在于“全自动、可复制”，一个爆破脚本可同时探测数千个IP，钓鱼则更依赖社工质量，且容易被邮件网关拦截，黑产在组建大规模DDoS僵尸网络时,弱口令扫描仍是主流入口。
黑产中弱口令扫描服务收费行情与僵尸网络组建成本
黑产链条中，弱口令扫描和爆破已经服务化，据公开的网络安全威胁情报观察，提供“SSH/RDP弱口令批量扫描”的服务报价通常按IP段或成功主机数计费，大致区间从几百元到数千元不等，具体取决于目标地域、端口开放率和是否包含境外代理，组建一个千台级别的僵尸网络,攻击者总投入往往低于一次中等规模钓鱼活动的成本。
防御投入与攻击成本的性价比
对企业而言，修复弱口令的边际成本极低：一条口令策略、一次全量扫描、一套登录审计，就能切断这条最廉价的扩散路径，相比之下，购买抗DDoS带宽或威胁检测系统属于事后兜底,优先做弱口令治理的投入产出比更高。
Q&A：关于弱口令僵尸网络的三个高频疑问
弱口令改复杂密码就能防住僵尸网络吗？
改复杂密码是必要但不充分条件，还需要关闭不必要的公网暴露端口、对SSH/RDP启用多因素认证、设置登录失败锁定（如fail2ban）、限制源IP访问，单纯改密码无法阻止已泄露口令被继续尝试,也无法阻止样本通过其他漏洞进入。
没有公网IP的内网主机也会被弱口令感染吗？
会，内网主机只要与已感染主机同网段可达，样本的横向扫描模块就会尝试爆破其22/3389/6379等端口，北京那起案例中，多数被感染主机正是内网互通的测试机,内网分区隔离和主机间访问控制是阻断横向扩散的关键。
发现主机被植入僵尸网络样本后第一时间该做什么？
第一时间断网隔离（拔网线或禁用网卡），保留内存和磁盘镜像用于取证，然后在网关侧封禁该主机IP的出站流量，防止C2继续下发指令，同时排查同网段其他主机的认证日志和cron任务，确认是否存在相同弱口令被利用的痕迹,并立即全量重置受影响账户口令。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/786440.html
