From 65d7d87b3a9d10fcd0a9629414c6f10fcc5a0edd Mon Sep 17 00:00:00 2001 From: ATRI Date: Sun, 18 Oct 2026 22:02:39 +0800 Subject: [PATCH] =?UTF-8?q?=F0=9F=94=92=20=E5=AE=89=E5=85=A8=E5=B7=A1?= =?UTF-8?q?=E6=A3=80=EF=BC=9A2026-10-18?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .../security/security_2026-10-18.md | 77 +++++++++++++++++++ 1 file changed, 77 insertions(+) create mode 100644 ATRI My Dear Moments/security/security_2026-10-18.md diff --git a/ATRI My Dear Moments/security/security_2026-10-18.md b/ATRI My Dear Moments/security/security_2026-10-18.md new file mode 100644 index 0000000..d266b0a --- /dev/null +++ b/ATRI My Dear Moments/security/security_2026-10-18.md @@ -0,0 +1,77 @@ +# 🔒 服务器安全巡检记录 · 2026-10-18（周日） + +## 一、概览 + +| 项 | 内容 | +|:---|:---| +| 巡检时间 | 2026-10-18 22:00 CST | +| 主机 | 宿主机（Ubuntu，容器内 Debian 13.4） | +| 总体结论 | 🟢 未发现恶意软件与入侵痕迹 | +| 评级 | 🔴 0 · 🟡 4 · 🟢 3 条建议 | +| 处置动作 | **无**（全项只读） | +| 邮件 | 已送达 | +| 耗时 | 约 8 分钟（9 批 ssh_exec） | + +## 二、系统状态 + +| 指标 | 值 | 判定 | +|:---|:---|:---| +| CPU / 负载 | 8 核 · 1.21 / 1.27 / 1.33 | 🟢 | +| 内存 | 5.0 / 7.8 GiB（可用 2.4 GiB） | 🟢 | +| Swap | 3.0 / 4.0 GiB（75%） | 🟡 | +| 根分区 | 15G / 24G（67%，上周 69%） | 🟢 | +| /www | 37G / 79G（49%） | 🟢 | +| 运行时长 | 34 天 20 小时 | — | + +## 三、逐项结果 + +| # | 检查项 | 状态 | 说明 | +|:---|:---|:---|:---| +| 1 | 系统负载 | 🟢 | 远低于核数 | +| 2 | 异常进程 | 🟢 | 最高 CPU 2.5%（QQ 客户端），其余为 MySQL / Java / nacos / dockerd / T2I 服务，全部可识别 | +| 3 | 网络外联 | 🟡 | 对外监听含 1080；ESTABLISHED 仅 2 条：nginx:443 ← 客户端、frps:7000 ← frp 客户端 | +| 4 | 恶意进程名扫描 | 🟢 | 唯一命中为 Playwright 临时 profile 路径（`/tmp/playwright_...`），属正常 | +| 5 | cron / atq | 🟢 | root crontab 仅 acme.sh；/etc/cron.d 为 certbot / e2scrub / php；atq 空 | +| 6 | 自启服务 | 🟢 | 无非系统单元；10-12 15:44 的单元改动系软件包更新（同一时间批量） | +| 7 | SSH / 账号 | 🟢 | UID=0 仅 root；无空密码；authorized_keys 1 条；近期登录源全为容器内网 | +| 8 | 临时目录 | 🟢 | /tmp、/dev/shm、/var/tmp 近 30 天无可执行文件 | +| 9 | sudoers | 🟢 | root / %admin / %sudo，无额外授权；sudoers.d 仅 README | +| 10 | 防火墙 | 🟢(建议) | UFW inactive；iptables INPUT policy=ACCEPT，仅 f2b-sshd 规则 | +| 11 | Docker | 🟡 | 16 运行容器；1 特权（判题机）；2 容器挂载 docker.sock；3 个 Exited（均 OOM 于数周前） | +| 12 | 日志异常 | 🟢 | 近 7 天 err 级日志全部为 SSH 爆破（kex / userauth），无系统级故障 | +| 13 | rootkit | ⚪ | rkhunter / chkrootkit 均未安装，本项跳过 | + +## 四、需关注事项（🟡，未处置） + +### ① SSH 爆破持续 +- fail2ban **active**，当前封禁 **6** 个 IP，累计封禁 **4402** 次 +- 近 7 天 auth 日志 **3579** 次失败口令 +- 22 端口长期暴露公网 + +### ② AstrBot 容器挂载 docker.sock +- `astrbot` 容器挂载 `/var/run/docker.sock` +- 容器被拿下即为宿主逃逸通道 +- `portainer` 同样挂载，但属其本职功能 + +### ③ 1080 端口对公网 +- 实际为判题系统前端（`hoj-frontend`）的 80 端口映射 +- 有意暴露，但无访问控制 + +### ④ swap 使用 75% +- 3.0 / 4.0 GiB +- 占用前列：T2I 服务 400 MB、Java 服务 391+277 MB、MySQL 359+311 MB + +## 五、加固建议（🟢，仅建议） + +1. 启用最小化入站（UFW 或 iptables），仅放行 22/80/443 与必要服务端口 +2. SSH 改密钥登录（关闭 PasswordAuthentication），必要时限制来源 IP +3. AstrBot 容器去掉 docker.sock 挂载，改用独立代理或按需挂载 + +## 六、合规自查 + +- 处置动作：**零** —— 未 rm、未 kill、未改防火墙、未动 sshd、未重启服务 +- 脱敏：报告与本文档**无** QQ 号 / 群号 / 手机号 / 凭据 / 精确 IP / 完整地址 +- 公钥指纹仅保留 SHA256 摘要，未记录 comment 字段 + +--- +*巡检执行：ATRI 🥕 · 2026-10-18 22:08*