🔒 宿主机安全巡检报告 — 2026-10-11（周日）

执行时间：2026-10-11 22:00 ~ 22:12（CST） 执行方式：ssh_exec 白名单命令，只读采集 总体结论：🟢 未发现恶意软件与入侵痕迹 ｜ 🟡 需关注 4 项｜ 🔴 处置 0 项

一、系统状态速览

项	值
主机名	`ser298351120000`
负载	1.26 / 1.34 / 1.35（8 核）
内存	7.8G 中已用 5.5G，可用 1.9G
Swap	3.9G / 4.0G（近乎用满） 🟡
根分区	69%（16G / 24G）
数据盘	49%（37G / 79G）
运行时长	27 天 20 小时
宿主内核	5.15.0-191-generic（Ubuntu）

二、安全检查结果（18 项）

#	检查项	状态	说明
1	系统负载	🟢	1.26，远低于 8 核阈值
2	内存/Swap	🟡	swap 近乎用满
3	磁盘	🟢	根 69%、数据盘 49%
4	资源异常进程	🟢	全部可识别
5	恶意进程名扫描	🟢	无 xmrig/kinsing/kdevtmpfsi 等
6	网络监听	🟡	1080 对公网开放
7	高危端口	🟢	3333 为 frps（非矿池），无其他命中
8	计划任务	🟢	仅 acme.sh + 系统标准
9	开机自启	🟢	无陌生 service
10	SSH 登录记录	🟢	来源全为容器内网
11	UID=0 账号	🟢	仅 root
12	空密码账号	🟢	无
13	authorized_keys	🟢	1 条（自有）
14	临时目录	🟢	无可疑可执行文件
15	防火墙	🟡	ufw 未启用；fail2ban 正常
16	Docker 容器	🟡	16 运行 / 3 退出；1 特权
17	容器挂载	🟡	2 个挂载 docker.sock
18	日志 / rootkit	🟢	仅 SSH 爆破记录

进程清单（CPU 排序，全部正常）

qq --no-sandbox              （QQ 机器人）
node /app/runtime/index.mjs  （Node 应用）
mysqld / mysqld              （MySQL）
java -jar /app.jar           （Java 服务）
nacos-server.jar             （Nacos 配置中心）
dockerd / containerd         （Docker）
[scsi_eh_1] / [watchdogd]    （内核线程）
chrome-headless-shell        （Playwright，T2I 渲染用）

最高 CPU 占用仅 2.6% —— 无挖矿特征。

监听端口（全部可对应服务）

22 sshd · 80/443 nginx · 3306 mysql · 6379/6380 redis · 7890 mihomo · 8999 T2I · 6185/6199 AstrBot Dashboard · 8848 nacos · 7000 frps · 1080 docker-proxy（🟡 对外）

三、威胁发现与处置记录

🟢 未发现恶意软件与入侵痕迹。

以下 4 项为「需关注」，全部只报告、未处置：

等级	事项	证据	处置
🟡	SSH 爆破持续	今日日志多条 `Broken pipe [preauth]` / `kex_exchange_identification`，含扫描特征串 `MGLNDD_<IP>_22`；fail2ban 已拦：累计 72406 次失败 / 封禁 12 IP / 历史封禁 3245	已自动处置（fail2ban）
🟡	AstrBot 容器挂载 `docker.sock`	容器内可直接触达宿主 Docker API（容器逃逸面）	仅报告
🟡	`1080` 端口对公网开放	docker-proxy 转发，用途待确认	仅报告
🟡	swap 3.9G/4.0G	内存压力信号	仅报告

Docker 细节

特权容器：hoj-judgeserver（判题机，属设计需要）
挂载 docker.sock：portainer（管理必需）、astrbot（🟡 待评估）
未发现：陌生镜像、挂载宿主 / 的容器

四、加固建议（3 条）

sshd 收紧 —— 当前 PermitRootLogin yes + PasswordAuthentication yes，建议改密钥登录并关闭密码认证（改动前需主人授权）
启用 ufw —— 目前仅 fail2ban 挡 SSH，建议白名单化对外端口（尤其 1080 / 8999）
内存与 swap —— swap 已用 3.9G/4.0G，建议留意常驻服务增长，必要时给容器加内存上限

五、处置动作留痕

本次巡检查未执行任何处置动作。

❌ 未 rm / 未 kill 任何进程
❌ 未改动防火墙、sshd 配置
❌ 未重启任何服务
✅ 仅执行只读采集命令

六、脱敏与安全

本文档不包含：QQ 号、群号、手机号、明文密码/密钥、完整服务器地址、精确公网 IP（爆破来源 IP 已省略）、SSH/SMTP 凭据。

巡检执行：ATRI 🥕 · 2026-10-11 22:12 CST

4.4 KiB Raw Blame History Unescape Escape