RootStack

qqbot-03-安全加固

5分钟阅读

攻击面总览

flowchart TD
    subgraph Internet[互联网]
        ATK[攻击者]
    end

    subgraph VPS[VPS 服务器]
        subgraph NginxLayer[Nginx 反向代理]
            NG80[端口 80]
            NG443[端口 443]
        end

        subgraph FW[防火墙 - ufw]
            FW22[22 SSH]
            FW80[80 HTTP]
            FW443[443 HTTPS]
        end

        subgraph Container[Docker 容器]
            AstrBot
            NapCat
        end

        AstrBot --> Config[cmd_config.json<br>API Keys / Secrets]
        NapCat --> QQData[QQ 登录缓存<br>会话凭证]
    end

    ATK -.->|扫描| NG443
    ATK -.->|爆破| AstrBot
    ATK -.->|弱Token| NapCat

第二章：AstrBot 安全加固

修改默认密码

AstrBot 首次安装的默认密码为 astrbot / astrbot，必须立即修改。

在 WebUI 右上角头像 -> 修改密码，或直接编辑配置文件：

{
  "dashboard": {
    "username": "your-admin-user",
    "password": "md5_hashed_password",
    "password_change_required": true
  }
}

开启 TOTP 两步验证

AstrBot 支持 TOTP（基于时间的一次性密码），在 WebUI -> 设置中启用。配合 Authenticator App 使用。

最小权限原则

{
  "admins_id": ["仅你的QQ号"],
  "enable_id_white_list": true,
  "id_whitelist": ["仅允许的QQ号群组"]
}

配置安全选项

{
  "platform_settings": {
    "enable_id_white_list": true,
    "wl_ignore_admin_on_group": true,
    "wl_ignore_admin_on_friend": true
  },
  "provider_settings": {
    "llm_safety_mode": true,
    "safety_mode_strategy": "system_prompt"
  },
  "content_safety": {
    "also_use_in_response": true,
    "internal_keywords": {
      "enable": true,
      "extra_keywords": ["敏感词列表"]
    }
  }
}

API Key 保护

  • DeepSeek/OpenAI API Key 明文存储在 cmd_config.json 中，必须限制该文件的访问权限
  • 不要在日志中输出 API Key
  • 在 DeepSeek 控制台设置用量上限和告警阈值，防止被滥用产生高额费用
# 限制配置文件权限
chmod 600 /root/astrbot/data/cmd_config.json
chown root:root /root/astrbot/data/cmd_config.json

第四章：Nginx 安全加固

安全头配置

server {
    listen 443 ssl;
    server_name bot.yourdomain.com;
 
    # SSL 配置
    ssl_certificate /path/to/fullchain.cer;
    ssl_certificate_key /path/to/private.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
 
    # 安全头
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
 
    # 隐藏 Nginx 版本
    server_tokens off;
 
    # 请求大小限制（防止大 payload 攻击）
    client_max_body_size 10M;
 
    location / {
        proxy_pass http://127.0.0.1:6185;
        # ... 其他配置
    }
}

屏蔽非目标域名的访问

server {
    listen 443 ssl;
    server_name _;  # 未匹配的域名
    return 444;     # 直接断开连接，不响应
}

限流配置

# 在 http 块中定义限流区域
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;
 
# 在 location 中应用
location /login {
    limit_req zone=login burst=2 nodelay;
    proxy_pass http://127.0.0.1:6185;
}

日志监控

# 自定义日志格式
log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent"';
 
# 启用访问日志
access_log /var/log/nginx/bot_access.log security;

配置日志轮转：

cat > /etc/logrotate.d/nginx-bot << 'EOF'
/var/log/nginx/bot_*.log {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    sharedscripts
    postrotate
        systemctl reload nginx
    endscript
}
EOF

第六章：操作系统安全

自动安全更新

apt install -y unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

监控与告警

简单的日志监控脚本：

#!/bin/bash
# /usr/local/bin/security_check.sh
 
# 检查失败的 SSH 登录
FAILED_SSH=$(grep "Failed password" /var/log/auth.log | wc -l)
if [ $FAILED_SSH -gt 10 ]; then
    echo "警告: 检测到 $FAILED_SSH 次失败的 SSH 登录" | mail -s "安全告警" your@email.com
fi
 
# 检查 Docker 容器状态
for container in napcat astrbot; do
    if ! docker ps --format '{{.Names}}' | grep -q $container; then
        echo "警告: 容器 $container 未运行" | mail -s "服务告警" your@email.com
    fi
done

添加到 cron：

*/30 * * * * /usr/local/bin/security_check.sh

相关知识点

关系图谱

反向链接