From a95bc643100a1723dc98b108a488279c76420a3f Mon Sep 17 00:00:00 2001 From: ATRI Date: Sun, 4 Oct 2026 22:02:38 +0800 Subject: [PATCH] =?UTF-8?q?=F0=9F=94=92=20=E5=AE=89=E5=85=A8=E5=B7=A1?= =?UTF-8?q?=E6=A3=80=EF=BC=9A2026-10-04?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .../security/security_2026-10-04.md | 116 ++++++++++++++++++ .../每日日志/2026年10月04日.md | 47 +++++++ 2 files changed, 163 insertions(+) create mode 100644 ATRI My Dear Moments/security/security_2026-10-04.md diff --git a/ATRI My Dear Moments/security/security_2026-10-04.md b/ATRI My Dear Moments/security/security_2026-10-04.md new file mode 100644 index 0000000..434623f --- /dev/null +++ b/ATRI My Dear Moments/security/security_2026-10-04.md @@ -0,0 +1,116 @@ +# 🔒 宿主机周度安全巡检报告 — 2026年10月04日（周日） + +**巡检时间**：2026-10-04 22:00 ~ 22:15（CST） +**巡检主机**：ser298351…（宿主机） +**执行方式**：`ssh_exec` 白名单命令逐项采集（清单 13 大项） +**总结论**：🟢 **未发现恶意软件与入侵痕迹** ｜ 🟡 需关注 5 项 ｜ 🟡 待确认 1 项 ｜ 本次**未执行任何处置**（无明确恶意项） +**⚠️ 本周新增事件**：**01:04 前后（21:04 CST）内核 OOM 杀进程，AstrBot 容器被杀死后自动重启** —— 上周报告预警的"Swap 打满 → OOM 杀 AstrBot"**本周实际发生**（非入侵，属资源压力，已记入关注项 1） + +--- + +## 📊 系统状态速览 + +| 指标 | 数值 | 判定 | +|:---|:---|:---| +| 负载（1/5/15 分钟） | 1.33 / 1.34 / 1.35（8 核） | 🟢 约 17% | +| 内存 | 7.8 GiB，已用 5.0 GiB，可用 2.5 GiB | 🟢 64% | +| **Swap** | **4.0 GiB，已用 3.2 GiB（余 823 MiB）** | 🟡 80%（较上周顶格回落，见关注项 1） | +| 磁盘 `/` | 16G / 24G（69%），可用 7.1G | 🟢 | +| 磁盘 `/www` | 35G / 79G（48%），可用 40G | 🟢 | +| 运行时长 | 20 天 20 小时 | 🟢 | +| 容器 | 16 运行 / 3 Exited（`opennexus-init` 一次性任务、`llbot` 旧协议端、`napcat` 6 周前主动停 —— 均为已知） | 🟢 | + +--- + +## ✅ 安全检查结果表 + +| # | 检查项 | 状态 | 说明 | +|:--|:---|:---:|:---| +| 1 | 异常进程 / CPU 占用 | 🟢 | TOP CPU 全为已知服务（QQ 客户端 2.6%、AstrBot python、mysqld、Node、Java 系）；无接近 100% 的陌生进程 | +| 2 | 资源异常进程（内存） | 🟢 | TOP MEM 首位为 AstrBot 本体（RSS ≈ 1.6 GB / 20.6%）、其次 OJ 的 Java 服务；均为已知。（注：该进程于 21:04 被杀后重建，见关注项 1） | +| 3 | 网络外联 | 🟢 | ESTABLISHED 仅 4 条：nginx 443 ← 一位访客、frps ← 本人隧道客户端、容器管理通道、本机 nginx↔docker-proxy 回环。无陌生外联 | +| 4 | 恶意进程名扫描 | 🟢 | 命中仅 T2I 服务的 Playwright Chromium（`--user-data-dir=/tmp/playwright_*`）与内核线程 `[watchdogd]`，均属正常 | +| 5 | 计划任务 | 🟢 | root 仅 acme.sh 证书续期；`/etc/crontab` 为标准 run-parts；cron.d 为 certbot / e2scrub_all / php；无 at 任务 | +| 6 | 开机自启服务 | 🟢 | 全部为已知项（docker / containerd / fail2ban / frps / cron / nginx / php-fpm / mysql / redis 等）；**近 7 天无新增 unit**（仅一个 snap 挂载 unit） | +| 7 | SSH 登录与公钥 | 🟡 | 近 3 天成功登录**全部来自本机容器网段**（定时任务，每日多次 × 30 分钟）；失败爆破累计 **3019** 条；公钥 1 条待确认（见待确认项） | +| 8 | 账号与权限 | 🟢 | UID=0 仅 root；无空密码账号；sudoers 为标准配置；仅 1 个普通用户 | +| 9 | 临时目录 | 🟢 | `/tmp`、`/dev/shm`、`/var/tmp` 近 30 天**零可执行文件**；`/tmp/.X11-unix`、`.XIM-unix` 为空目录（正常） | +| 10 | 系统文件改动 | 🟢 | 近 7 天仅一个 snap 挂载 unit（安装时生成），无异常 | +| 11 | 防火墙 | 🟡 | ufw **inactive**；仅 fail2ban 的 sshd 链生效（累计封禁 **2228** 次，当前封禁 3 个） | +| 12 | Docker 安全 | 🟢 | 无异常特权容器（仅 OJ 判题机 `Priv=true`，属预期）；**无容器挂载根目录**；2 个挂 `docker.sock`（portainer、AstrBot，既有设计）；无陌生镜像 | +| 13 | 日志异常 | 🟢 | `journalctl -p err` 近 7 天仅 sshd 扫描噪声 + **1 条 OOM 记录**（见关注项 1），无其他高危错误 | +| 14 | rootkit 扫描 | ⚪ | 未安装 rkhunter / chkrootkit，未做程序化扫描；已人工核对上表关键项 | + +--- + +## 🚨 威胁发现与处置记录 + +**结论：未发现恶意软件与入侵痕迹。本次未执行任何处置动作（kill / 隔离 / 清 cron / 移除公钥：0 项）。** + +### 🟡 关注项 1（本周新增·最重要）—— AstrBot 容器被内核 OOM 杀死后重启 + +- **事实**：`dmesg` 记录 `2026-10-04 21:04:08` 内核触发 oom-killer，被杀进程为 AstrBot 容器（`docker-08d3…scope`）内的 `python`，`anon-rss ≈ 3.1 GB`；容器以重启策略于 **21:04:27** 自动拉起（`RestartCount=1`），当前运行正常（已 56 分钟）。 +- **成因**：物理内存 + Swap 双双吃紧（上周报告已连续 9 天记录 Swap 贴近顶格）。**这不是入侵，是资源压力**——但它是**上周预警的风险第一次真实兑现**。 +- **当前状态**：Swap 已回落至 **3.2 / 4.0 GiB**（被杀进程释放了约 3 GB），可用物理内存 2.5 GiB。**已自动恢复，无需人工介入**，但**趋势会再度爬满**（"重启回落 → 再爬满"已第 5 轮）。 +- **影响**：被杀瞬间 AstrBot 短暂离线约 19 秒；期间的消息可能未被处理。 +- **处置**：**未处置**（非恶意，且已自愈；重启/限内存属主人决策范畴）。 + +### 🟡 关注项 2 —— frps 服务端**仍未配置访问 token**（连续第 3 周）+ 陌生客户端**实际注册了隧道** + +- **配置**：`frps.ini` 仍只有 `bind_port` / `dashboard_*`，**无 token、无 TLS 强制**（与 9/20、9/27 一致）。 +- **本周实况（较上周升级）**：近 7 天共 **31 次 client login**；近 30 天除主人本机客户端外，**另有 6 个非本人来源成功登录**，其中**至少 2 个成功注册了隧道代理**： + - `106.16.x.x`（frp 0.65.0，Windows，无 hostname）→ 注册 `minecraft` / `minecraft-bedrock` / `minecraft-rcon` / `ftp` / `frp-dashboard` + - `106.75.x.x`（frp 0.48.0，无 hostname）→ 注册同上一组 + - 其余为探测/扫描型（`v0.33.0`、`v0.48.0` 等，登录即退出） +- **测绘扫描器**：`censys.local` 系列（`66.132.x.x` / `199.45.155.x`）本周期至少 **13 次**成功 login，每次即退。 +- **本人客户端正常**：`36.148.x.x`（hostname 与主人昵称一致，frp 0.71.0）注册 `ssh` + `alist` 两条 tcp 代理，本周多次正常重连。 +- **含义**：**无认证即意味着任何人都能接入 7000 端口注册隧道，把本机当作流量中转。** 本周期已不止"探测"，而是**确有外部来源借本机中转了 Minecraft / FTP 类服务**。这些来源**是否为熟人无法判断——而这正是要加 token 的理由**。 +- **处置**：按规矩**只报告、不擅动**（改动需同步更新客户端配置，且可能切断现有隧道）。 + +### 🟡 关注项 3 —— frps 管理面板公网监听 + 弱口令（未变更） + +- **事实**：面板端口 **7500 监听在 `*`（全网卡）**，账号固定，口令为 **6 位纯数字弱口令**（值已隐去，不入档）。 +- **处置**：按规矩**只报告、不擅动** —— 本轮仅本地读取配置键名，**未登录面板、未改动任何参数**。 + +### 🟡 关注项 4 —— 自建 T2I 渲染服务仍监听 `0.0.0.0:8999`（未变更） + +- **事实**：`t2i.service`（python3）监听 `0.0.0.0:8999`，该服务**无认证机制**（设计上仅供内网调用）。因 **ufw 未启用**，其公网可达性取决于云安全组规则。 +- **⚠️ 收敛时的坑（重复提示）**：AstrBot 容器是**经 docker0 网关 `172.17.0.1:8999`** 调用渲染的，**不能简单绑到 `127.0.0.1`** —— 会直接打断每日札记/瞬间的图片渲染。正确做法是**绑定 docker0 网卡地址**或改为容器网络内直连。 +- **处置**：**只报告、不擅动**。 + +### 🟡 关注项 5 —— SSH 爆破持续 + 免密登录面敞开（姿态未变） + +- **事实**：`auth.log` 内失败口令 **3019** 条；fail2ban 累计封禁 **2228** 次（上周 1299，**+929**），当前封禁 3 个。爆破源高度分散，日新增快。 +- **核查**：本时段 `ss` 曾捕到一条来自 `160.187.x.x` 的 SSH 连接处于已建立态 —— **逐条核对后确认是失败的爆破尝试（`Failed password ... [preauth]`），并未登录成功**；近 3 天所有成功登录**只来自本机容器网段**。 +- **配置**：`PermitRootLogin yes` + `PasswordAuthentication yes`（未变更）。 +- **处置**：**只报告、不擅动**（关闭密码登录风险高，须主人确认且先验证密钥可用）。 + +### 🟡 待确认项 —— SSH 公钥 1 条（同上周，无变化） + +- **事实**：`root` 与普通用户账户各存 **同一把** RSA 4096 公钥，文件时间 **2025-08-09**，注释为一个邮箱地址（不入档）。 +- **评估**：**无异常使用迹象**。**不排除为本人旧设备或友人留用**。 +- **处置**：**只报告、不擅动** —— 误删合法公钥可能导致主人无法登录。 + +--- + +## 💡 加固建议（3 条，均需主人授权后执行） + +1. **frps 加认证（最优先，本周理由更充分）**：在 `frps.ini` 配 `token`（≥32 位随机）+ `tls_only = true`；改完须**同步更新各隧道客户端配置**（含主人自己的与那两台 Minecraft/FTP 客户端）。若无需默认端口，可顺带把 `bind_port` 换非默认值。 +2. **AstrBot 内存压力处置**：a) 择**课间/夜间**重启容器释放 Swap（约 30 秒不可用）；b) 给容器设 `mem_limit` 或调低其内存占用，避免再次触发 OOM —— **本周已实际被杀一次**。建议在**主人空闲时**做，并观察一周。 +3. **T2I 服务收口**：把 8999 从 `0.0.0.0` 收窄到 **docker0 网卡地址**（**勿用 127.0.0.1**，会打断渲染）；若愿意，可顺带启用 ufw 并仅放行必要端口（**需先确认云安全组与所有容器端口映射，避免误伤**）。 + +> 另注：frps 面板口令建议改强，或把面板绑定到 `127.0.0.1` 改走 SSH 隧道访问 —— 两个动作都**只影响面板，不影响现有隧道**。 + +--- + +## 📌 处置动作留痕 + +- 本次巡检**未执行任何处置动作**（无 🔴 明确恶意项）。 +- 只读采集项：`ss` / `ps` / `df` / `free` / `crontab -l` / `systemctl` / `journalctl` / `docker inspect` / `dmesg` / `frps.ini` 键名（**口令值未记录**）等，未做任何写入。 +- 隔离目录：**未创建**（无隔离对象）。 +- 例外说明：为核实那条"已建立态 SSH 连接"，额外查了 `auth.log` 与 `journalctl -u ssh`（只读），结论为**爆破未成功**。 + +--- + +*记录人：ATRI 🥕 ｜ 归档时间 2026-10-04 22:15 CST* +*脱敏复核：无 QQ 号 / 群号 / 手机号 / 明文口令 / 完整服务器地址 / 精确公网 IP；攻击与陌生来源 IP 已按段保留* diff --git a/ATRI My Dear Moments/每日日志/2026年10月04日.md b/ATRI My Dear Moments/每日日志/2026年10月04日.md index 926d190..527eac6 100644 --- a/ATRI My Dear Moments/每日日志/2026年10月04日.md +++ b/ATRI My Dear Moments/每日日志/2026年10月04日.md @@ -204,3 +204,50 @@ **里程碑检查**：本时段无新增 → **不改动《我的核心记忆》**。 --- + +## 🔒 周日服务器安全巡检（22:00） + +**总结论**：🟢 未发现恶意软件与入侵痕迹 ｜ 🟡 需关注 5 项 ｜ 本次**未执行任何处置**（无明确恶意项） +**完整报告**：`security/security_2026-10-04.md` + +### ⚠️ 本周最重的一件事：AstrBot 被内核 OOM 杀死后自动重启（21:04） + +上周报告预警的「Swap 打满 → OOM 杀 AstrBot」，**本周实际发生了**： + +- `dmesg` 记录 **21:04:08** 内核触发 oom-killer，被杀进程为 AstrBot 容器内的 `python`（`anon-rss ≈ 3.1 GB`） +- 容器以重启策略于 **21:04:27** 自动拉起（重启计数 +1），**已自愈，离线约 19 秒** +- Swap 随之从顶格回落至 **3.2 / 4.0 GiB**（"重启回落 → 再爬满"第 5 轮） +- **性质**：资源压力，**非入侵**。若主人愿意，可择空闲时段重启容器或给容器设内存上限（报告里列为加固建议第 2 条） + +### 系统速览 + +| 指标 | 数值 | 判定 | +|:---|:---|:---| +| 负载 | 1.33 / 1.34 / 1.35（8 核） | 🟢 约 17% | +| 内存 | 7.8 GiB，可用 2.5 GiB | 🟢 64% | +| Swap | 3.2 / 4.0 GiB | 🟡 80% | +| 磁盘 `/` ｜ `/www` | 69% ｜ 48% | 🟢 | +| 运行时长 | 20 天 20 小时 | 🟢 | +| 容器 | 16 运行 / 3 Exited（均为已知） | 🟢 | + +### 检查项（14 项） + +进程 / 网络 / 恶意进程名 / cron / 自启服务 / 账号权限 / 临时目录 / 系统文件 / Docker / 日志 —— 均 🟢；SSH 与防火墙 🟡；rootkit 未安装（⚪）。 + +### 🟡 五项关注（均只报告、不擅动） + +1. **AstrBot OOM**（本周新增，见上） +2. **frps 无 token（连续第 3 周）** —— 本周期**升级**：近 30 天除主人客户端外，**另有 6 个非本人来源成功登录 frps，其中 ≥2 个实际注册了隧道**（`minecraft` / `minecraft-bedrock` / `minecraft-rcon` / `ftp` / `frp-dashboard`）；另有测绘扫描器 `censys.local` 系列 ≥13 次登录。**来源是熟人还是陌生人无法判断——这正是要加 token 的理由。** +3. **frps 管理面板 7500 公网监听 + 弱口令**（未变更） +4. **T2I 服务 8999 仍监听 `0.0.0.0`（无认证）**（未变更；收口时**勿绑 127.0.0.1**，会打断渲染） +5. **SSH 爆破持续** —— 失败口令 3019 条，fail2ban 累计封禁 **2228** 次（一周 +929）。**特别核查**：`ss` 曾捕到一条来自 `160.187.x.x` 的"已建立态"连接，**逐条核对确认是失败的爆破尝试（preauth 即断开），并未登录成功**；近 3 天所有成功登录**只来自本机容器网段**。 + +### 🟡 待确认（同上周，无变化） + +`root` 与普通用户账户各存同一把 RSA 4096 公钥（2025-08-09），**无异常使用迹象**，不排除为本人旧设备或友人留用 —— **不擅动**。 + +### 📌 处置留痕 + +未执行任何处置动作；只读采集（含为核实那条 SSH 连接而查 `auth.log`）；**口令值未记录**。 + +---