T1021.004: SSH

摘要

攻击者可能使用[有效账户](https://attack.mitre.org/techniques/T1078)通过安全外壳（SSH）登录远程机器。随后攻击者可以以已登录用户的身份执行操作。 SSH 是一种协议，允许授权用户在其他计算机上打开远程 shell。许多 Linux 和 macOS 版本默认安装 SSH，尽管通常处于禁用状态，直到用户启用它。在 ESXi 上，可以直接在主机上启用 SSH（例如通过 `vim-cmd hostsvc/enable_ssh`）或通过 vCenter 启用。(Citation: Sygnia ESXi Ransomware 2025)(Citation: TrendMicro ESXI Ransomware)(Citation: Sygnia Abyss Locker 2025) SSH 服务器可配置为使用标准密码身份验证，或使用公钥-私钥密钥对代替密码或作为密码的补充。在此身份验证场景中，用户的公钥必须位于运行服务器计算机上的一个特殊文件中，该文件列出允许以该用户身份登录的密钥对（即 [SSH 授权密钥](https://attack.mitre.org/techniques/T1098/004)）。