Linux 取证135 条

SSH 端口转发配置与监听核查

SSH 可建立本地与远程转发，把内网端口暴露到外部或把外部端口引入内网；服务端监听端口出现非业务进程时优先怀疑转发。

服务端	AllowTcpForwarding、GatewayPorts、PermitOpen
客户端	ssh -L（本地）、ssh -R（远程）

核查

ss -tlnp | grep -i sshd
sshd -T 2>/dev/null | grep -Ei 'allowtcpforwarding|gatewayports|permitopen'

GatewayPorts 为 yes 时远程转发会监听全部地址，风险面明显扩大。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌