================================================== 服务器安全排查报告 - 2026年 11月 11日 星期三 10:14:29 CST ================================================== === [1] 系统级自启服务 === UNIT FILE STATE PRESET apparmor.service enabled enabled avahi-daemon.service enabled enabled caddy.service enabled enabled cloud-config.service enabled enabled cloud-final.service enabled enabled cloud-init-local.service enabled enabled cloud-init.service enabled enabled console-setup.service enabled enabled containerd.service enabled enabled cron.service enabled enabled docker.service enabled enabled e2scrub_reap.service enabled enabled getty@.service enabled enabled keyboard-setup.service enabled enabled lightdm.service enabled enabled lm-sensors.service enabled enabled MQTTControlService.service enabled enabled networking.service enabled enabled novnc.service enabled enabled podman-auto-update.service enabled enabled podman-restart.service enabled enabled podman.service enabled enabled sing-box.service enabled enabled ssh.service enabled enabled systemd-pstore.service enabled enabled systemd-timesyncd.service enabled enabled udisks2.service enabled enabled wpa_supplicant.service enabled enabled 28 unit files listed. === [2] 系统定时任务 === --- /etc/crontab --- # /etc/crontab: system-wide crontab # Unlike any other crontab you don't have to run the `crontab' # command to install the new version when you edit this file # and files in /etc/cron.d. These files also have username fields, # that none of the other crontabs do. SHELL=/bin/sh PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin # Example of job definition: # .---------------- minute (0 - 59) # | .------------- hour (0 - 23) # | | .---------- day of month (1 - 31) # | | | .------- month (1 - 12) OR jan,feb,mar,apr ... # | | | | .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat # | | | | | # * * * * * user-name command to be executed 17 * * * * root cd / && run-parts --report /etc/cron.hourly 25 6 * * * root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.daily; } 47 6 * * 7 root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.weekly; } 52 6 1 * * root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.monthly; } # --- /etc/cron.d/ 目录 --- 总计 20 drwxr-xr-x 2 root root 45 2023年 7月20日 . drwxr-xr-x 116 root root 8192 11月 2日 15:12 .. -rw-r--r-- 1 root root 201 2023年 3月 5日 e2scrub_all -rw-r--r-- 1 root root 102 2023年 3月 2日 .placeholder --- /etc/cron.daily/ 目录 --- 总计 32 drwxr-xr-x 2 root root 87 2023年 7月20日 . drwxr-xr-x 116 root root 8192 11月 2日 15:12 .. -rwxr-xr-x 1 root root 1478 2023年 5月25日 apt-compat -rwxr-xr-x 1 root root 123 2023年 3月27日 dpkg -rwxr-xr-x 1 root root 377 2022年12月15日 logrotate -rwxr-xr-x 1 root root 1395 2023年 3月13日 man-db -rw-r--r-- 1 root root 102 2023年 3月 2日 .placeholder --- /etc/cron.hourly/ 目录 --- 总计 16 drwxr-xr-x 2 root root 26 2023年 7月20日 . drwxr-xr-x 116 root root 8192 11月 2日 15:12 .. -rw-r--r-- 1 root root 102 2023年 3月 2日 .placeholder === [3] 所有用户的定时任务 === === [4] 动态链接库预加载 === 正常: 文件不存在 === [5] 监听端口与进程 === Netid State Recv-Q Send-Q Local Address:Port Peer Address:PortProcess udp UNCONN 0 0 0.0.0.0:45442 0.0.0.0:* users:(("avahi-daemon",pid=551,fd=14)) udp UNCONN 0 0 0.0.0.0:5353 0.0.0.0:* users:(("avahi-daemon",pid=551,fd=12)) udp UNCONN 0 0 *:443 *:* users:(("caddy",pid=1486778,fd=7)) udp UNCONN 0 0 *:21116 *:* users:(("hbbs",pid=3841062,fd=17)) udp UNCONN 0 0 [::]:5353 [::]:* users:(("avahi-daemon",pid=551,fd=13)) udp UNCONN 0 0 *:36671 *:* users:(("hbbs",pid=3841062,fd=21)) udp UNCONN 0 0 [::]:36736 [::]:* users:(("avahi-daemon",pid=551,fd=15)) udp UNCONN 0 0 *:8084 *:* users:(("caddy",pid=1486778,fd=10)) tcp LISTEN 0 100 0.0.0.0:8081 0.0.0.0:* users:(("websockify",pid=682,fd=3)) tcp LISTEN 0 4096 0.0.0.0:1883 0.0.0.0:* users:(("docker-proxy",pid=1405,fd=4)) tcp LISTEN 0 32 0.0.0.0:5900 0.0.0.0:* users:(("x11vnc",pid=3841051,fd=8)) tcp LISTEN 0 4096 0.0.0.0:3333 0.0.0.0:* users:(("docker-proxy",pid=1396,fd=4)) tcp LISTEN 0 4096 127.0.0.1:13375 0.0.0.0:* users:(("sing-box",pid=579,fd=13)) tcp LISTEN 0 4096 0.0.0.0:9001 0.0.0.0:* users:(("docker-proxy",pid=1433,fd=4)) tcp LISTEN 0 4096 127.0.0.1:36327 0.0.0.0:* users:(("sing-box",pid=579,fd=10)) tcp LISTEN 0 128 127.0.0.1:20001 0.0.0.0:* users:(("ttyd_nerd.x86_6",pid=3116310,fd=13)) tcp LISTEN 0 128 127.0.0.1:20000 0.0.0.0:* users:(("ttyd_nerd.x86_6",pid=3116309,fd=13)) tcp LISTEN 0 128 127.0.0.1:44815 0.0.0.0:* users:(("codex",pid=3229934,fd=36)) tcp LISTEN 0 128 127.0.0.1:10002 0.0.0.0:* users:(("ttyd.x86_64",pid=3116308,fd=12)) tcp LISTEN 0 128 127.0.0.1:10001 0.0.0.0:* users:(("ttyd.x86_64",pid=3116307,fd=12)) tcp LISTEN 0 128 127.0.0.1:10000 0.0.0.0:* users:(("ttyd.x86_64",pid=3116306,fd=12)) tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=3025024,fd=3)) tcp LISTEN 0 4096 *:8084 *:* users:(("caddy",pid=1486778,fd=9)) tcp LISTEN 0 4096 [::]:1883 [::]:* users:(("docker-proxy",pid=1419,fd=4)) tcp LISTEN 0 32 [::]:5900 [::]:* users:(("x11vnc",pid=3841051,fd=9)) tcp LISTEN 0 4096 *:11955 *:* users:(("sing-box",pid=579,fd=8)) tcp LISTEN 0 4096 *:5555 *:* users:(("frps",pid=1637,fd=4)) tcp LISTEN 0 4096 [::]:3333 [::]:* users:(("docker-proxy",pid=1418,fd=4)) tcp LISTEN 0 4096 *:5390 *:* users:(("frps",pid=1637,fd=9)) tcp LISTEN 0 4096 *:25543 *:* users:(("sing-box",pid=579,fd=11)) tcp LISTEN 0 4096 *:7000 *:* users:(("frps",pid=1637,fd=7)) tcp LISTEN 0 4096 [::]:9001 [::]:* users:(("docker-proxy",pid=1442,fd=4)) tcp LISTEN 0 128 *:21115 *:* users:(("hbbs",pid=3841062,fd=19)) tcp LISTEN 0 128 *:21118 *:* users:(("hbbs",pid=3841062,fd=20)) tcp LISTEN 0 128 *:21119 *:* users:(("hbbr",pid=1854,fd=10)) tcp LISTEN 0 128 *:21116 *:* users:(("hbbs",pid=3841062,fd=18)) tcp LISTEN 0 128 *:21117 *:* users:(("hbbr",pid=1854,fd=9)) tcp LISTEN 0 4096 *:18904 *:* users:(("sing-box",pid=579,fd=9)) tcp LISTEN 0 4096 *:443 *:* users:(("caddy",pid=1486778,fd=6)) tcp LISTEN 0 4096 *:12553 *:* users:(("sing-box",pid=579,fd=12)) tcp LISTEN 0 511 *:8443 *:* users:(("MainThread",pid=2081,fd=19)) tcp LISTEN 0 4096 *:80 *:* users:(("caddy",pid=1486778,fd=8)) tcp LISTEN 0 128 [::]:22 [::]:* users:(("sshd",pid=3025024,fd=4)) === [6] CPU占用前15进程 === USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND root 3849502 200 0.1 15556 5508 pts/11 R+ 10:14 0:00 ps aux --sort=-%cpu lightdm 3825663 5.2 0.1 19088 5816 ? Ss 06:05 12:59 /lib/systemd/systemd --user divint3 3130743 0.8 5.3 528048 215336 ? Ssl 11月09 25:00 nvim --embed . root 44 0.8 0.0 0 0 ? S 11月02 103:18 [kswapd0] root 3840956 0.7 0.0 4560 1176 ? Ss 09:37 0:17 sh ./run hbbs divint3 3229934 0.7 2.9 473128 120272 pts/6 Sl+ 11月09 19:15 codex . root 3849336 0.6 0.0 10016 3340 pts/11 S+ 10:14 0:00 /bin/bash /root/security_check.sh root 579 0.5 1.9 2075672 78520 ? Ssl 11月02 69:43 /etc/sing-box/bin/sing-box run -c /etc/sing-box/config.json -C /etc/sing-box/conf root 1486778 0.4 3.0 1443048 122716 ? Ssl 11月05 37:28 /usr/local/bin/caddy run --environ --config /etc/caddy/Caddyfile --adapter caddyfile divint3 4827 0.4 0.3 21016 13008 ? Ss 11月02 51:53 tmux new -s huashida divint3 45867 0.3 3.4 1584560 137424 ? Ssl 11月02 48:06 /home/divint3/.codex/packages/app-server-daemon/releases/0.163.0-x86_64-unknown-linux-musl/bin/codex app-server --listen unix:// --analytics-default-enabled --managed-daemon root 1 0.3 0.2 103812 9924 ? Ss 11月02 42:00 /sbin/init root 762 0.2 1.1 2498536 47268 ? Ssl 11月02 27:04 /usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock root 1509 0.1 0.3 1238196 12220 ? Sl 11月02 19:55 /usr/bin/containerd-shim-runc-v2 -namespace moby -id af11f316483de8d4489d188d5f7990150b8c34e6da3c07f03812fd18cb36edfd -address /run/containerd/containerd.sock root 602 0.1 0.8 2096532 34516 ? Ssl 11月02 19:08 /usr/bin/containerd === [7] /tmp 和 /dev/shm 下的可执行文件 ===