从哪吒监控漏洞说起：我做了一个轻量级 VPS 入侵监控与告警工具 vps-sentinel

最近两天，哪吒监控相关安全事件又在圈子里被讨论起来。公开安全公告里可以看到，Nezha Monitoring 近期有多条访问控制、SSRF 、跨租户权限和 Agent/面板信任边界相关漏洞被披露或更新。

这件事给我的启发很直接：

VPS 上只做“在线监控”是不够的，我们还需要知道机器有没有出现可疑登录、持久化、异常进程、异常监听端口和关键文件漂移。

所以我整理并开源了一个 Rust 写的轻量级 VPS 入侵信号监控工具：

GitHub: https://github.com/cryptoli/vps-sentinel

Release: v0.1.0

为什么需要这个工具

哪吒监控这类工具的核心价值是“服务器状态监控”：CPU 、内存、流量、延迟、在线状态等。

但一旦监控面板、Agent 权限或远程执行能力出现问题，风险就会变成：

• 面板账号被拿下后，影响多台 Agent 机器；


• 低权限用户越权触发任务或访问内部资源；


• Agent 权限过高，导致攻击面扩大；


• 机器被植入后门后，传统在线监控不一定能及时发现；


• 服务器还在线、CPU 也正常，但 authorized_keys、systemd 、cron 、监听端口已经被改了。

vps-sentinel 不是哪吒监控的替代品，它关注的是另一个方向：

主机有没有出现“被入侵的信号”。

vps-sentinel 支持什么

1. SSH 登录监控

可以识别：

• root SSH 登录；


• 密码登录；


• 普通成功登录；


• SSH 爆破行为；


• 基于来源 IP 的聚合告警；


• journalctl / auth.log / secure 日志兼容读取。

默认不是只提醒陌生 IP ，而是可以按配置提醒成功登录。

2. SSH key 和关键文件完整性

重点监控：

• authorized_keys


• authorized_keys2


• 关键系统配置文件


• Web 目录中的疑似 WebShell 内容


• 基线漂移

如果你手动改了 SSH key ，它会作为风险漂移被识别出来，而不是静默忽略。

3. 持久化检测

会检查常见持久化入口：

• cron


• systemd unit


• shell profile


• ld.so.preload


• 可疑启动命令


• 下载后执行


• base64 解码后执行


• 临时目录自启动


• 网络到 shell 的执行链路

它不是简单字符串匹配，而是基于行为特征组合评分，降低正常运维误报。

4. 进程风险检测

支持识别：

• 临时目录可执行文件；


• deleted executable ；


• memfd / 匿名执行；


• 网络 shell 桥接；


• 已知挖矿/扫描器身份；


• 改名伪装进程；


• 可疑父进程链；


• systemd unit 与 ExecStart 上下文；


• 可执行文件 owner 、大小、hash ；


• cgroup/container 上下文；


• 出站连接画像。

比如普通转发工具不会因为名字像“网络工具”就直接告警，程序会结合 shell 意图、fd 复制、TTY 、socket 、执行路径等多个信号判断。

5. 网络监听检测

会读取 /proc/net/tcp*、/proc/net/udp* 并反查进程，重点关注：

• 新增公网监听；


• 高风险公网端口；


• 监听 owner 相对基线变化；


• 可疑进程监听常见端口；


• 防火墙状态辅助判断。

80 、443 、22 这类常见端口不会被无脑信任，也不会被无脑告警。

如果黑客伪装成常见端口上的服务，仍然会结合进程身份、路径、owner 、systemd 、hash 、出站连接等上下文分析。

6. 通知渠道

目前支持：

• Telegram


• Email SMTP


• Webhook


• ntfy


• Gotify


• Bark


• ServerChan

通知内容支持中英文，并且会带上 VPS 名称，适合多台服务器同时部署。

7. 低资源占用

程序使用 Rust 编写，本地 SQLite 存储。

我在测试 VPS 上通过 systemd 运行，常驻内存大约 5MB 左右，具体会随系统环境和扫描数据略有变化。

安装方式

一键安装：

curl -fsSL https://raw.githubusercontent.com/cryptoli/vps-sentinel/main/install.sh -o install.sh

sudo sh install.sh

安装时启用 Telegram：

sudo TELEGRAM_BOT_TOKEN="<your-bot-token>" \

  TELEGRAM_CHAT_ID="<your-chat-id>" \

  TELEGRAM_MIN_SEVERITY=Medium \

  VPS_NAME="prod-web-1" \

  sh install.sh

安装完成后会自动创建：

/usr/local/bin/vps-sentinel

/usr/local/bin/vs

也就是说以后可以直接用简写：

sudo vs doctor

sudo vs scan

sudo vs reload

常用命令

检查运行环境：

sudo vs doctor --config /etc/vps-sentinel/config.toml

校验配置：

sudo vs config validate --config /etc/vps-sentinel/config.toml

执行一次扫描但不发送通知：

sudo vs scan --no-notify --config /etc/vps-sentinel/config.toml

测试通知渠道：

sudo vs notify test --config /etc/vps-sentinel/config.toml

修改配置后重载：

sudo vs reload --config /etc/vps-sentinel/config.toml

更新程序：

curl -fsSL https://raw.githubusercontent.com/cryptoli/vps-sentinel/main/update.sh -o update.sh

sudo sh update.sh

停止服务：

sudo vps-sentinel-stop

和哪吒监控的关系

哪吒监控适合看服务器在线状态和资源指标。

vps-sentinel 更适合做入侵信号监控。

二者关注点不同：

类型	关注点
哪吒监控	在线状态、CPU 、内存、流量、延迟
vps-sentinel	登录、进程、端口、持久化、关键文件、WebShell 、通知告警

我的建议是：

• 如果你需要状态面板，可以继续用成熟监控工具；


• 如果你担心 VPS 被登录、被植入后门、被加 SSH key 、被改 systemd/cron ，可以加一层 vps-sentinel；


• 不建议把主机入侵监控当普通 Docker 容器运行，因为普通容器默认只能看到容器自己的进程和文件系统，不能可靠监控宿主机。

哪吒事件给我们的提醒

这次事件不应该简单理解成“某个项目不能用”。真正的问题是：

只要一个系统拥有跨机器管理能力、远程执行能力或高权限 Agent ，它本身就必须被当成高价值攻击面来看待。

所以除了更新存在漏洞的软件，我们还应该关注这些问题：

• 有没有异常 SSH 登录？


• 有没有新增 SSH key ？


• 有没有新增 systemd/cron 持久化？


• 有没有异常公网监听？


• 有没有可疑进程伪装成正常服务？


• 有没有 WebShell 痕迹？


• 有没有被植入挖矿或扫描工具？


• 告警消息能不能第一时间发到手机？

这正是 vps-sentinel 想解决的问题。

项目地址

GitHub：

https://github.com/cryptoli/vps-sentinel

欢迎测试、提 issue 、提 PR 。

这个项目会继续围绕“低资源占用、低误报、可解释告警、适合普通 VPS 用户”方向优化。