首页/安全/应急响应速查/检查 ~/.ssh/rc 与 sshrc 登录钩子

检查 ~/.ssh/rc 与 sshrc 登录钩子

sshd 在登录会话建立时会执行 ~/.ssh/rc 或 /etc/ssh/sshrc:这两个位置名字低调,是登录触发的隐蔽据点。

应急响应速查安全更新于 2026-10-12
位置 1~/.ssh/rc(用户级)
位置 2/etc/ssh/sshrc(全局)
触发SSH 登录会话建立时执行
检查文件是否存在及内容

检查登录钩子文件

检查登录钩子文件
ls -la /root/.ssh/rc /etc/ssh/sshrc 2>/dev/null
for h in /home/*; do ls -la "$h/.ssh/rc" 2>/dev/null; done
head -n 20 /etc/ssh/sshrc 2>/dev/null
正常主机一般没有这个文件:出现即需逐行解释其内容。

易错点

  • 只查 authorized_keys:rc 钩子不用任何密钥也能上线
  • 看到文件就跳过:先看权限、所有者与内容

数据来源与参考

  • OpenSSH sshd(8) 手册:LOGIN PROCESS 一节

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌