文章总结： SSH攻击者越来越多地使用单条非交互式exec命令绕过传统蜜罐分析,99.23%的认证会话由单命令组成,速度极快(1秒内),表明自动化工具主导。传统交互式蜜罐失效,需重新设计检测方法,关注命令正确性而非对话时长,并将短暂会话分组为战役级元会话分析。 综合评分： 87 文章分类： 漏洞分析,红队,安全运营,渗透测试,威胁情报

SSH攻击者利用单条执行命令绕过交互式蜜罐分析

原创

ZM ZM

暗镜

2026年7月12日 08:00 北京

在小说阅读器读本章

去阅读

SSH 攻击者越来越多地滥用 SSH 上的单个非交互式 exec 命令来绕过传统的蜜罐分析，有效地将身份验证后的活动变成短暂的自动化探测，而不是欺骗系统旨在研究的交互式 shell 会话。

最近对 11 个 LLM 支持的 SSH 蜜罐进行的测量表明，99.23% 的已认证会话由单个非交互式执行请求组成，而只有 0.10% 打开交互式 shell，0.67% 尝试文件传输。

这些攻击通常在一秒钟内完成，速度太快，不可能是人类手动输入的，这强烈表明使用了自动化工具和机器人基础设施。

一个独立的基于 Cowrie 的“蜜罐即服务”（HaaS）数据集涵盖了同一时间窗口内的 4,737 个 SSH 蜜罐，证实了这一趋势：在至少包含一条命令的已登录会话中，92.67% 的会话恰好包含一条命令，这与基于 LLM 的部署中观察到的非交互式优势相符。

对 2017 年至 2026 年 HaaS 存档的纵向分析进一步表明，非交互式 SSH 会话至少从 2018 年起就很常见，并且到 2024 年底急剧跃升至 97% 以上，正如 Arxiv 所报道的那样。

这表明，许多攻击者现在将 SSH 视为更广泛的扫描和利用过程中的一个自动检查点：进行身份验证，以机器速度执行一条命令，收集信息或验证目标，然后继续进行下一步。

大多数 SSH 蜜罐和网络欺骗工作仍然假设攻击者一旦通过身份验证，就会打开一个交互式 shell 并输入一系列命令，这些命令可以被记录、分析和“对话”。

基于 LLM 的 SSH 蜜罐（如 AdvancedShelLM、HoneyLLM 和 HoneyGPT）针对真实的终端对话进行了专门优化，其成功指标围绕参与时间和交互量构建。

有些框架，如 VelLMes，甚至从设计上就拒绝非交互式执行模式，丢弃了攻击者在当前面向互联网的部署中实际发送的约 99% 的已认证流量。

在非交互模式下，攻击者通过执行请求发出单个命令，接收输出后便关闭通道，而无需建立 shell。这限制了依赖调用序列的蜜罐的有效性，因此需要重新设计检测方法，以识别这些短暂的、一次性的命令，而不是持续的交互。

单命令执行会话的盛行对SSH 蜜罐的设计和社区对欺骗成功率的衡量都有直接影响。

首先，仅实现交互式 shell 或忽略执行请求的蜜罐会系统性地错过大多数经过身份验证的攻击者行为，从而产生偏向于罕见的交互式操作员而不是普遍存在的自动化探测的数据集。

其次，当大多数攻击在发出单个命令后一秒钟内结束时，依赖于参与时间、命令数量或对话回合数的评估指标就变得无关紧要了。

对于基于 LLM 的蜜罐来说，真正的考验不再是攻击者“停留聊天”的时间长短，而是蜜罐能否经受住这些验证探测：它返回的输出是否与真实 Linux 系统常用命令的输出相匹配；它是否在检查过程中保持并公开一致的状态；以及它通过野外观察到的探测模式的频率如何。

研究人员在两个数据集中都没有观察到提示注入字符串、明确的 AI/LLM 提及或固定字符串哈希探测，这表明目前 LLM 支持的欺骗行为所面临的压力是由执行正确性驱动的，而不是由对话操纵驱动的。

要恢复传统互动会话的情报价值，现在需要将许多短暂的非互动会话分组到每个参与者的战役级元会话中，然后大规模分析探测成功率。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM ZM《SSH攻击者利用单条执行命令绕过交互式蜜罐分析》