有 VMISS/绿云 vps 的建议排查下入侵植入 socks 代理

起因是我发现最近 vps 晚间开始掉速断联，并且跑的流量超出我的预期。于是让 gpt 排查一下，发现

"VPS 上有独立的 Python SOCKS5 服务监听 51108 ，以 root 运行，并伪装成 [kworker/1:2H]"

进一步调查发现，是有陌生 ip 通过 vmiss 的初始密码（非弱密码）直接一次登录成功然后部署，过程如下：

10 月 24 日
已保存的服务器记录

13:17:31
173.249.35.203 使用 root 密码成功登录，建立会话 18087

13:17:34
隐藏脚本和服务文件创建；同一个 SSH 会话中的 systemctl 请求重载

13:17:35
systemd-hwdb-sync.service 启动

13:17:44
该 SSH 会话退出

我觉得一次成功不可能是密码暴力穷举，怀疑是什么服务的 0-day 还是 vps 服务商问题。于是让 AI 搜索下有没有相关 case 。不搜不知道，一搜,"2026 年 10 月下旬集中曝光、11 月初仍在持续发酵的 GreenCloud （绿云）与 VMISS VPS 被入侵、植入 SOCKS5 代理事件",结果 10 月下旬（也和上面入侵记录吻合）就爆出来了。但是 VMISS 完全没有任何作为，连个 alert mail 都没有

我看 v 站上好像没有相关帖子，所以特意提醒下。如果你有上面 vps 服务商的机子，赶紧检查下有没有伪装成 kworker 的陌生 socks 代理服务

Ref：
https://www.nodeseek.com/post-1015550-1
https://linux.do/t/topic/3126557/4

教训：
虽然我自己是通过密钥登录，但是配置里没有关掉密码登录。

检查下 systemd 系统服务，过滤掉非官方的 kworker 开头的服务，看有没有可疑的 socks 代理进程。

这个问题确实很严重，建议同时检查系统日志和所有可疑服务进程，确保没有其他后门。

我也遇到过类似入侵，记得当时服务器上也发现了伪装成系统进程的 socks 服务，后来禁用密码登录才解决问题。