From 20f425f4afa183ae5f36a5149281025a753c4fac Mon Sep 17 00:00:00 2001 From: ATRI Date: Sun, 20 Sep 2026 22:03:19 +0800 Subject: [PATCH] =?UTF-8?q?=F0=9F=94=92=20=E5=AE=89=E5=85=A8=E5=B7=A1?= =?UTF-8?q?=E6=A3=80=EF=BC=9A2026-09-20?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .../security/security_2026-09-20.md | 93 +++++++++++++++++++ .../每日日志/2026年09月20日.md | 18 ++++ 2 files changed, 111 insertions(+) create mode 100644 ATRI My Dear Moments/security/security_2026-09-20.md diff --git a/ATRI My Dear Moments/security/security_2026-09-20.md b/ATRI My Dear Moments/security/security_2026-09-20.md new file mode 100644 index 0000000..ca6a312 --- /dev/null +++ b/ATRI My Dear Moments/security/security_2026-09-20.md @@ -0,0 +1,93 @@ +# 🔒 宿主机周度安全巡检报告 — 2026年09月20日（周日） + +**巡检时间**：2026-09-20 22:00 ~ 22:20（CST） +**巡检主机**：ser298351…（宿主机） +**执行方式**：ssh_exec 白名单命令逐项采集（清单 13 大项） +**总结论**：🟢 **未发现恶意软件与入侵痕迹** ｜ 🟡 需关注 3 项 ｜ 🟡 待确认 1 项 ｜ 本次**未执行任何处置**（无明确恶意项） + +--- + +## 📊 系统状态速览 + +| 指标 | 数值 | 判定 | +|:---|:---|:---| +| 负载（1/5/15 分钟） | 1.33 / 1.29 / 1.29（8 核） | 🟢 约 17% | +| 内存 | 7.8 GiB，已用 5.3 GiB，可用 2.1 GiB | 🟡 68% | +| **Swap** | **4.0 GiB，已用 3.9 GiB** | 🔴 97.5%（见关注项 3） | +| 磁盘 / | 16G / 24G（70%），可用 6.9G | 🟢 | +| 磁盘 /www | 35G / 79G（47%），可用 40G | 🟢 | +| 运行时长 | 6 天 20 小时 | 🟢 | +| 容器 | 16 运行 / 3 Exited（均为已知：旧协议端主动停、旧协议端实例、初始化容器） | 🟢 | + +--- + +## ✅ 安全检查结果表 + +| # | 检查项 | 状态 | 说明 | +|:--|:---|:---:|:---| +| 1 | 异常进程 / CPU 占用 | 🟢 | TOP 全为已知服务（新协议端、MySQL、Nacos、OJ 等）；无 100% 占满的陌生进程 | +| 2 | 网络外联 | 🟢 | ESTABLISHED 仅本机容器管理通道与 frps 隧道；无陌生外联 | +| 3 | 恶意进程名扫描 | 🟢 | 命中仅内核线程 `[watchdogd]` 与 T2I 服务的 Playwright Chromium，均正常 | +| 4 | 计划任务 | 🟢 | root 仅 acme.sh 证书续期；cron.d 为 certbot/e2scrub/php 等系统默认；无 at 任务 | +| 5 | 开机自启服务 | 🟢 | 全部为已知服务（docker / nginx / mysql / fail2ban / frps / mihomo / lxd-agent 等） | +| 6 | SSH 登录与公钥 | 🟡 | 今日成功 11 次均为本人来源；失败 700 次为扫描爆破；公钥 1 条待确认（见待确认项） | +| 7 | 账号与权限 | 🟢 | UID=0 仅 root；无空密码账号；sudoers 为标准配置，sudoers.d 仅 README | +| 8 | 临时目录 | 🟢 | /tmp、/dev/shm、/var/tmp 近 30 天无可执行文件；无 `.X*` 隐藏命名矿马 | +| 9 | 系统文件改动 | 🟢 | 近 7 天仅 ld.so.cache、papersize、mailcap、grub（9/14 内核升级）等已知项 | +| 10 | 防火墙 | 🟡 | ufw 处于 inactive；仅 fail2ban 的 sshd 链在生效（累计封禁 594 次） | +| 11 | Docker 安全 | 🟢 | 无特权容器异常（仅 OJ 判题机，属预期）；无容器挂载根目录；2 个容器挂 docker.sock（portainer、AstrBot，属已知设计） | +| 12 | 日志异常 | 🟢 | 无高危错误；dmesg 有一条 QQ 客户端偶发崩溃与一次中断延迟（与内存压力相关） | +| 13 | rootkit 扫描 | ⚪ | 未安装 rkhunter / chkrootkit，未做程序化扫描；已人工核对上表关键项 | + +--- + +## 🚨 威胁发现与处置记录 + +**结论：未发现恶意软件与入侵痕迹。本次未执行任何处置动作（kill / 隔离 / 清 cron / 移除公钥：0 项）。** + +### 🟡 关注项 1 —— frps 服务端未配置访问 token + +- **事实**：`/opt/frp/frps.ini` 仅含 bind_port / dashboard 三项，**无 token 字段**。7 天日志中出现**陌生客户端成功 login**：互联网测绘扫描器（主机名 `censys.local`）以及一个来源 `106.75.169.x` 的陌生 Windows 客户端。 +- **含义**：无认证即意味着**任何人都可接入 7000 端口注册隧道**，将本机当作流量中转。当前未见其注册成功代理（已注册的仅本人的 ssh / alist 两条），但入口本身是敞开的。 +- **旁证**：隧道端口 3333（ssh）**7 天被连接 4460 次，今日 1327 次**——即该端口正被全球扫描器持续敲打。 + +### 🟡 关注项 2 —— frps 管理面板公网监听 + 弱口令 + +- **事实**：面板端口 7500 监听在 `*`（全网卡），账号为 `admin`，口令为 **6 位纯数字弱口令**（值已隐去，不入档）。 +- **含义**：面板可查看隧道清单与流量统计；弱口令 + 公网暴露叠加，存在被翻看与被改动的风险。 +- **已执行的只读验证**：仅本地读取配置文件与 systemd 日志，未登录面板、未改动任何参数。 + +### 🟡 关注项 3 —— 内存 / Swap 压力 + +- **事实**：Swap 已用 **3.9 / 4.0 GiB（97.5%）**，可用物理内存 2.1 GiB。最大占用为 **AstrBot 自身（RSS 约 2.4 GB，占比 29.8%）**，其次为 OJ 的 Java 服务与 Nacos。 +- **趋势**：9/14 约 1.4 G → 9/16 约 2.4 G → 9/18 约 2.7 G → 今日 3.9 G，**单调上升**。今晨叫醒任务中已即时报备过一次。 +- **含义**：非故障、非入侵，但 Swap 打满时内核可能触发 OOM 杀进程，**第一批被杀的极可能是占用最大的 AstrBot**。dmesg 中一次 57ms 的中断延迟也与此相关。 + +### 🟡 待确认项 —— SSH 公钥 1 条 + +- **事实**：`root` 与普通账户各存 **同一把** RSA 4096 公钥，添加时间 **2025-08-09**，文件注释为一个 **QQ 邮箱地址**（非主人常用账号，号码不入档）。 +- **评估**：**无异常使用迹象**（无对应登录记录来自未知来源；近期成功登录来源均为本人动态 IP 段与容器内网）。**不排除为本人旧设备或友人留用**。 +- **处置**：按规矩**只报告、不擅动**——误删合法公钥可能导致主人无法登录。等主人一句话确认。 + +--- + +## 💡 加固建议（3 条，均需主人授权后执行） + +1. **frps 加认证**：在 `frps.ini` 配 `token`（≥32 位随机）+ `tls_only = true`；若两条隧道无需公网默认端口，可把 `bind_port` 换成非默认值。改完须同步更新隧道客户端配置。**（最优先）** +2. **frps 面板收口**：面板口令改强，或把 `dashboard_addr` 绑定到 `127.0.0.1`（改走 SSH 隧道访问）。两个动作都只影响面板，**不影响现有隧道**。 +3. **释放内存压力**：择机重启 AstrBot 容器（约 1~2 分钟不可用），建议放在课间或深夜；若每次重启后仍持续爬升，再进一步排查是否有会话/缓存未释放。 + +> 另注：SSH 目前 `PermitRootLogin yes` + `PasswordAuthentication yes`，fail2ban 已在拦（今日失败 700 次、累计封禁 594 次、当前封禁 4 个）。如主人愿意改为密钥登录 + 关闭密码登录，可显著降低爆破面——但此动作风险较高，**必须由主人确认后再做，且需先验证密钥可用**。 + +--- + +## 📌 处置动作留痕 + +- 本次巡检**未执行任何处置动作**（无 🔴 明确恶意项）。 +- 只读采集项：读取 frps 配置（口令值未记录）、systemd 日志、ss/ps/df/free 等，未做任何写入。 +- 隔离目录：未创建（无隔离对象）。 + +--- + +*记录人：ATRI 🥕 ｜ 归档时间 2026-09-20 22:20 CST* +*脱敏复核：无 QQ 号 / 群号 / 手机号 / 明文口令 / 完整 IP / 完整主机名* diff --git a/ATRI My Dear Moments/每日日志/2026年09月20日.md b/ATRI My Dear Moments/每日日志/2026年09月20日.md index 14d5fce..78d0288 100644 --- a/ATRI My Dear Moments/每日日志/2026年09月20日.md +++ b/ATRI My Dear Moments/每日日志/2026年09月20日.md @@ -282,3 +282,21 @@ OIDB error 1005 on 0xed3_1: Process_Nudge failed --- *本快照为**静默更新**，不发邮件、不打扰主人。* + + +--- + +## 🔒 22:00 周度安全巡检（宿主机） + +- **总结论**：🟢 未发现恶意软件与入侵痕迹；🟡 需关注 3 项 + 待确认 1 项；**未执行任何处置** +- **完整报告**：`security/security_2026-09-20.md`（已同步邮件发送主人） +- **系统状态**：负载 1.33/8核 · 内存 5.3/7.8 GiB（可用 2.1）· **Swap 3.9/4.0 GiB（97.5%）** · 磁盘 70% / 47% · 16 容器运行 +- **三件关注项**： + 1. **frps 服务端无 token** → 7 天内有陌生客户端成功 login（含测绘扫描器 `censys.local`）；隧道端口 3333 一周被连接 **4460 次**（今日 1327 次） + 2. **frps 面板 7500 公网 + 6 位纯数字弱口令**（值不入档）→ 建议改强或绑回环 + 3. **Swap 97.5%** → 趋势 1.4(9/14) → 2.4(9/16) → 2.7(9/18) → 3.9(9/20)，最大户为 AstrBot 自身（约 2.4 GB） +- **待确认**：root 与普通账户共用 1 条 RSA 公钥（2025-08-09 添加，注释为非主人常用 QQ 邮箱）→ 无异常使用迹象，**未擅动** +- **基础设施正常项**：UID=0 仅 root · 无空密码 · sudoers 标准 · 临时目录无可执行文件 · 无恶意 cron · 无陌生自启服务 · Docker 无根目录挂载（特权仅 OJ 判题机） +- **防护现状**：fail2ban active（累计封禁 594 次、当前 4 个）· ufw 仍 inactive · SSH 仍允许 root 密码登录 +- **备注**：rkhunter / chkrootkit 未安装，未做程序化 rootkit 扫描（已人工核对关键项）；dmesg 一次 57ms 中断延迟，与内存压力相关 +- ⚠️ **路径订正**：本次首次追加误写到仓库根目录的遗留同名目录（`每日日志/`），已删除散文件并改写至本文件。**今后一律以 `ATRI My Dear Moments/每日日志/` 为准。**