333 个 Tor 出口节点被接管，SSH 流量被截

通过 Tor 连服务器时，你不会注意屏幕上跳出的那行警告——「远程主机身份已变更」。10 月 2 日早上，一位研究者收到这行字时多看了一眼，牵出了一场针对整个 Tor 出口层的劫持行动。

一、发生了什么

据安全媒体报道，一名署名 kaba 的研究者用自动化扫描逐个测试了约三千个出口中继，确认其中 333 个把 SSH 连接（22 端口）重定向到了同样 12 台截获服务器。加密网页流量照常转发，用户毫无察觉；只有走 SSH 的人会遇到假主机密钥——忽略警告、输入密码的人，密码就交了出去，攻击者随后还能观察会话、判断权限，并尝试植入 Base64 编码的 Perl 载荷。另一组改动针对邮件：多个加密邮件端口被屏蔽，而允许明文收信的端口放行，用户若遇到连接降级继续收信，邮件内容就可能外泄。调查还发现了前期入侵：8 月 28 日攻击者用运维人员复用的密码进入一台管理服务器，五分钟内拿到 root 并装上 Ebury——一个 2009 年起就在活动的 Linux 后门——再经此攻入第二台服务器。10 月 4 日 Tor 目录权威给相关节点打上禁用出口标记，到 10 月 5 日 17 时（UTC），共识里已无携带恶意策略的节点。行动的完整归属、感染主机总数和受害用户数量，调查仍未查明。

时间线值得单独拉一遍：8 月 28 日管理服务器失守；10 月 2 日上午 9 时 35 分左右劫持全面启动，同日研究者发现异常并联系 Tor 的网络健康团队；10 月 4 日目录权威给相关中继打上禁用出口的标记，攻击者当天重启部分节点试图回归，被标记机制挡住，只能降级为中继角色；10 月 5 日所有已确认的染毒服务器关停。从发现到清除用了三天，对一次覆盖数百节点的事件来说不算慢，但前期入侵在系统里潜伏了超过一个月——防御的薄弱点在入口，不在响应。

二、跟你有什么关系

如果你在 10 月 1 日至 5 日间经 Tor 用过 SSH：把这段时期用过的所有密码视为已泄露，立即改密并撤销相关密钥。

如果你运行 Tor 中继：检查配置文件里 ExitRelay、ExitPolicy、ContactInfo 等字段有没有未经你手的改动，必要时重装系统。

如果你只是普通用户：这次事件的直接受害面窄，但它示范的套路——劫持基础设施、降级加密连接——值得所有人记住一条铁律：SSH 主机密钥变更警告，永远不要跳过。

三、怎么用

1. 立即禁用 SSH 密码登录，全面改用密钥认证或硬件密钥；复用密码（这次入侵的起点）一并清理。
2. 遇到主机密钥警告，先断开、再从可信渠道核实目标机器的真实指纹，确认后更新本地记录。
3. 怀疑中过 Ebury 的机器，检查系统库里是否有伪装成密钥工具库的异常文件——官方包完整性校验未必能发现它。

四、三个别信的说法

错误说法一：Tor 本身被破解了。 出问题的是数百台托管出口的服务器被入侵后改了配置，Tor 的加密设计没有失效；网络已于 10 月 5 日完成清理。

错误说法二：走 Tor 的加密流量都被看了。 攻击只针对 SSH 和明文邮件路径，加密网页流量未被截获——这也是它隐蔽如此之久的原因。

错误说法三：装了杀毒软件就没事。 Ebury 藏在共享库里且保持宿主包原样，常规完整性检查可能漏检，需要用专门的检测脚本排查。

五、一句话结论

这次的教训不属于 Tor，属于所有运维者：一条跳过的密钥警告加一个到处复用的密码，就能放进一个活了十几年的后门。

信息来源

• GBHackers：333 个 Tor 出口节点遭入侵用于 SSH 中间人攻击，2026-10-20
• 腾讯新闻对原报道的中文转述，2026-10-23

功能与价格以官方公告为准。本文写于 2026 年 10 月 26 日。