| 日志特征 | Failed password for invalid user <名> from <IP> |
|---|---|
| 价值 | 枚举字典与目标偏好 |
清单
清单
grep -oE 'Invalid user [^ ]+' /var/log/auth.log | awk '{print $3}' | sort | uniq -c | sort -rn | head -20枚举名中出现业务系统名或内部代号，说明攻击者做过信息收集。
Invalid user 行与用户名枚举
Invalid user 表示登录使用了系统不存在的账号名，连续出现说明对方在做用户名枚举；枚举清单本身反映其目标关键词。
易错点
- 部分扫描器会先发空用户名，日志表现为 user 后为空串
- 同名正常账号的失败登录应归入有效用户统计，避免误判为枚举
数据来源与参考
- OpenSSH 手册（sshd 日志）