昨晚想弄个博客系统，AI建议安装宝塔再安装wordpress，我在安装完宝塔后，随手网上查了一下，发现它会上报服务器信息到他们的服务器，这就存在风险了，必须卸载，就根据AI提示，通过宝塔官方uninstall.sh脚本卸载了，但我总不太放心它，担心留后门，毕竟国内这些人的小心思多得很，就运行了netstat -nalp， 一运行，果然发现不对劲，发现有如下信息：

udp 0 0 0.0.0.0:3478 0.0.0.0:* 1390631/xxd
udp 0 0 172.29.159.137:68 172.29.159.253:67 ESTABLISHED 886/NetworkManager
udp 0 0 127.0.0.1:323 0.0.0.0:* 790/chronyd
udp6 0 0 ::1:323 :::* 790/chronyd

xxd是个啥东西？感觉不对劲的我就问了AI，AI说xxd本来是十六进制数据查看工具，不应该监听端口，AI跟我一样认为是后门软件，AI建议我运行：ls -l /proc/1390631/exe，结果显示“/proc/1390631/exe –> /opt/zbox/run/xxd/xxd”，这个zbox目录我是再熟悉不过了，就是我安装开源禅道的目录，进一步发现他还监听了其他几个端口，信息如下：

tcp6 0 0 :::11444 :::* LISTEN 1390631/xxd
tcp6 0 0 :::11443 :::* LISTEN 1390631/xxd
udp 0 0 0.0.0.0:3478 0.0.0.0:* 1390631/xxd

有了AI的分析后， 我更加确定了“它的行为特征完全符合恶意木马/后门的画像”。于是经过一顿猛如虎的操作，终于清除了这个后患。

警示自己： 还是不能太相信国内这些所谓的开源项目，一定要谨慎！

/*************************************************

copyright (c) 陈典军，电话（18300000903）

版权所有，转载必须注明出处和作者信息，否则告侵权。

***************************************************/