起因是我发现最近 vps 晚间开始掉速断联，并且跑的流量超出我的预期。于是让 gpt 排查一下，发现
"VPS 上有独立的 Python SOCKS5 服务监听 51108 ，以 root 运行，并伪装成 [kworker/1:2H]"
进一步调查发现，是有陌生 ip 通过 vmiss 的初始密码（非弱密码）直接一次登录成功然后部署，过程如下：
| 10 月 24 日 | 已保存的服务器记录 |
|---|---|
| 13:17:31 | 173.249.35.203 使用 root 密码成功登录，建立会话 18087 |
| 13:17:34 | 隐藏脚本和服务文件创建；同一个 SSH 会话中的 systemctl 请求重载 |
| 13:17:35 | systemd-hwdb-sync.service 启动 |
| 13:17:44 | 该 SSH 会话退出 |
我觉得一次成功不可能是密码暴力穷举，怀疑是什么服务的 0-day 还是 vps 服务商问题。于是让 AI 搜索下有没有相关 case 。不搜不知道，一搜,"2026 年 10 月下旬集中曝光、11 月初仍在持续发酵的 GreenCloud （绿云）与 VMISS VPS 被入侵、植入 SOCKS5 代理事件",结果 10 月下旬（也和上面入侵记录吻合）就爆出来了。但是 VMISS 完全没有任何作为，连个 alert mail 都没有
我看 v 站上好像没有相关帖子，所以特意提醒下。如果你有上面 vps 服务商的机子，赶紧检查下有没有伪装成 kworker 的陌生 socks 代理服务
Ref： https://www.nodeseek.com/post-1015550-1 https://linux.do/t/topic/3126557/4
教训： 虽然我自己是通过密钥登录，但是配置里没有关掉密码登录
Select Language