feat: add host-sec-check

2026-09-04 11:54:07 +08:00
parent ef22c6829e
commit b28acc66d8
9 changed files with 539 additions and 0 deletions
@@ -0,0 +1,41 @@
+# host-sec-check
+
+对一台 Linux/VPS 做入侵取向的安全检查：先取证，再给你一份结论和处置清单。默认不改机器。
+
+## 什么时候用
+
+- 「这台机做一次安全检查」
+- 「好像被黑了 / 有矿机 / 服务无故 OOM」
+- 「看看哪些端口对公网开着」
+- 检查另一台机器时，直接点名主机：`对 vvps4 跑 /host-sec-check`
+
+适用于单台 Linux（systemd + 常见 Docker/k3s）。不是应用代码审计，也不是云账号合规审计。
+
+## 使用前准备
+
+- SSH 能上（别名或 `user@host`）
+- 尽量有 sudo 或 docker 组（没有也能做浅查）
+- 告诉 Agent 哪张 IP 是公网，方便从外面探测
+- 若要清理、关端口、重启：明确说「同意处置」
+
+## 使用示例
+
+```text
+对 ace@vvps2 做 host-sec-check，只出报告先不要改。
+```
+
+```text
+用 host-sec-check 查 vora3，公网 IP 是 x.x.x.x，发现未授权的就列处置项问我。
+```
+
+## Agent 会做什么
+
+1. 采集账号、监听端口、cron/systemd、Docker/k3s、`ld.so.preload`、内存/hugepage。
+2. 怀疑进程隐藏时，用容器读宿主机，避免被矿机库骗过。
+3. 从另一台机器探测公网端口（含 IPv6，如果有）。
+4. 给出结论：是否沦陷、入口、对外端口、建议处置。
+5. 你点头后才停容器、占位矿机文件、收端口或重启。
+
+## 如何判断完成
+
+报告里有结论表；若做了处置，公网已关端口连不上，业务域名仍可用。密钥、token 不应出现在完整原文里。