最近使用 ssh 登录服务器会出现一段 html 代码，请问是中毒了吗？我该怎么开始排查？

RT

@alvinbone88 https://imgur.com/8cI3lYX 里面没看出来有可疑的文件

@yvkm92 我试了用 audit 审计日志，但是没抓到有执行 curl 的操作

@ferock 这个感觉很有可能，我要看看怎么定位到登录的之后执行了 curl

@lxy42 系统是 centos7.6, motd 里面没内容，sshd_banner 也没有设置

@alvinbone88 这个目录下看着没有可疑文件，看时间都是 23 年以前的文件 https://imgur.com/undefined

@Kite6 centos7.6 的

登录执行 curl ？

看看是不是 ssh motd 或者 ssh banner

图床挂了看不到，如果是 ubuntu 的话可以看看 /etc/default/motd-news