115 lines
4.4 KiB
Markdown
115 lines
4.4 KiB
Markdown
# 🔒 宿主机安全巡检报告 — 2026-10-11（周日）
|
||
|
||
**执行时间**：2026-10-11 22:00 ~ 22:12（CST）
|
||
**执行方式**：`ssh_exec` 白名单命令，只读采集
|
||
**总体结论**：🟢 **未发现恶意软件与入侵痕迹** ｜ 🟡 需关注 4 项 ｜ 🔴 处置 0 项
|
||
|
||
---
|
||
|
||
## 一、系统状态速览
|
||
|
||
| 项 | 值 |
|
||
|:---|:---|
|
||
| 主机名 | `ser298351120000` |
|
||
| 负载 | **1.26 / 1.34 / 1.35**（8 核）|
|
||
| 内存 | 7.8G 中已用 5.5G，可用 1.9G |
|
||
| **Swap** | **3.9G / 4.0G（近乎用满）** 🟡 |
|
||
| 根分区 | 69%（16G / 24G）|
|
||
| 数据盘 | 49%（37G / 79G）|
|
||
| 运行时长 | 27 天 20 小时 |
|
||
| 宿主内核 | 5.15.0-191-generic（Ubuntu）|
|
||
|
||
---
|
||
|
||
## 二、安全检查结果（18 项）
|
||
|
||
| # | 检查项 | 状态 | 说明 |
|
||
|:---|:---|:---|:---|
|
||
| 1 | 系统负载 | 🟢 | 1.26，远低于 8 核阈值 |
|
||
| 2 | 内存/Swap | 🟡 | swap 近乎用满 |
|
||
| 3 | 磁盘 | 🟢 | 根 69%、数据盘 49% |
|
||
| 4 | 资源异常进程 | 🟢 | 全部可识别 |
|
||
| 5 | 恶意进程名扫描 | 🟢 | 无 xmrig/kinsing/kdevtmpfsi 等 |
|
||
| 6 | 网络监听 | 🟡 | 1080 对公网开放 |
|
||
| 7 | 高危端口 | 🟢 | 3333 为 frps（非矿池），无其他命中 |
|
||
| 8 | 计划任务 | 🟢 | 仅 acme.sh + 系统标准 |
|
||
| 9 | 开机自启 | 🟢 | 无陌生 service |
|
||
| 10 | SSH 登录记录 | 🟢 | 来源全为容器内网 |
|
||
| 11 | UID=0 账号 | 🟢 | 仅 root |
|
||
| 12 | 空密码账号 | 🟢 | 无 |
|
||
| 13 | authorized_keys | 🟢 | 1 条（自有） |
|
||
| 14 | 临时目录 | 🟢 | 无可疑可执行文件 |
|
||
| 15 | 防火墙 | 🟡 | ufw 未启用；fail2ban 正常 |
|
||
| 16 | Docker 容器 | 🟡 | 16 运行 / 3 退出；1 特权 |
|
||
| 17 | 容器挂载 | 🟡 | 2 个挂载 docker.sock |
|
||
| 18 | 日志 / rootkit | 🟢 | 仅 SSH 爆破记录 |
|
||
|
||
### 进程清单（CPU 排序，全部正常）
|
||
|
||
```
|
||
qq --no-sandbox （QQ 机器人）
|
||
node /app/runtime/index.mjs （Node 应用）
|
||
mysqld / mysqld （MySQL）
|
||
java -jar /app.jar （Java 服务）
|
||
nacos-server.jar （Nacos 配置中心）
|
||
dockerd / containerd （Docker）
|
||
[scsi_eh_1] / [watchdogd] （内核线程）
|
||
chrome-headless-shell （Playwright，T2I 渲染用）
|
||
```
|
||
|
||
**最高 CPU 占用仅 2.6%** —— 无挖矿特征。
|
||
|
||
### 监听端口（全部可对应服务）
|
||
|
||
`22` sshd · `80/443` nginx · `3306` mysql · `6379/6380` redis · `7890` mihomo · `8999` T2I · `6185/6199` AstrBot Dashboard · `8848` nacos · `7000` frps · `1080` docker-proxy（🟡 对外）
|
||
|
||
---
|
||
|
||
## 三、威胁发现与处置记录
|
||
|
||
**🟢 未发现恶意软件与入侵痕迹。**
|
||
|
||
以下 4 项为「需关注」，**全部只报告、未处置**：
|
||
|
||
| 等级 | 事项 | 证据 | 处置 |
|
||
|:---|:---|:---|:---|
|
||
| 🟡 | **SSH 爆破持续** | 今日日志多条 `Broken pipe [preauth]` / `kex_exchange_identification`，含扫描特征串 `MGLNDD_<IP>_22`；**fail2ban 已拦**：累计 72406 次失败 / 封禁 12 IP / 历史封禁 3245 | 已自动处置（fail2ban） |
|
||
| 🟡 | **AstrBot 容器挂载 `docker.sock`** | 容器内可直接触达宿主 Docker API（容器逃逸面） | 仅报告 |
|
||
| 🟡 | **`1080` 端口对公网开放** | docker-proxy 转发，用途待确认 | 仅报告 |
|
||
| 🟡 | **swap 3.9G/4.0G** | 内存压力信号 | 仅报告 |
|
||
|
||
### Docker 细节
|
||
|
||
- **特权容器**：`hoj-judgeserver`（判题机，属设计需要）
|
||
- **挂载 docker.sock**：`portainer`（管理必需）、`astrbot`（🟡 待评估）
|
||
- **未发现**：陌生镜像、挂载宿主 `/` 的容器
|
||
|
||
---
|
||
|
||
## 四、加固建议（3 条）
|
||
|
||
1. **sshd 收紧** —— 当前 `PermitRootLogin yes` + `PasswordAuthentication yes`，建议改密钥登录并关闭密码认证（**改动前需主人授权**）
|
||
2. **启用 ufw** —— 目前仅 fail2ban 挡 SSH，建议白名单化对外端口（尤其 `1080` / `8999`）
|
||
3. **内存与 swap** —— swap 已用 3.9G/4.0G，建议留意常驻服务增长，必要时给容器加内存上限
|
||
|
||
---
|
||
|
||
## 五、处置动作留痕
|
||
|
||
**本次巡检查未执行任何处置动作。**
|
||
|
||
- ❌ 未 `rm` / 未 `kill` 任何进程
|
||
- ❌ 未改动防火墙、sshd 配置
|
||
- ❌ 未重启任何服务
|
||
- ✅ 仅执行只读采集命令
|
||
|
||
---
|
||
|
||
## 六、脱敏与安全
|
||
|
||
本文档不包含：QQ 号、群号、手机号、明文密码/密钥、完整服务器地址、精确公网 IP（爆破来源 IP 已省略）、SSH/SMTP 凭据。
|
||
|
||
---
|
||
|
||
*巡检执行：ATRI 🥕 · 2026-10-11 22:12 CST*
|