用途：面向宝塔（BT）面板部署的 Linux 服务器做安全审计与合规检查，覆盖 SSH 安全、异常进程与 CPU 占用、SUID/SGID 文件、Webshell、定时任务、关键文件权限与完整性六个维度，并给出风险评级和修复优先级。
主要能力：检查 sshd_config 中 PermitRootLogin、PasswordAuthentication、Port 等配置及 authorized_keys 异常；用 last、grep "Failed password" 查看登录与失败记录；用 ps aux 排序排查高 CPU/内存进程，匹配 kdevtmpfsi、xmrig、kinsing 等挖矿特征与反弹 shell 特征；用 find -perm -4000/-2000 扫描 SUID/SGID 及无主文件；在 /www/wwwroot 下按修改时间、大小和 eval/base64_decode 关键字扫描 PHP Webshell，并可查看宝塔 WAF 日志；审计 root 与各用户 crontab、/etc/cron.*、systemd timer 及含 wget/curl 的可疑任务；核对 /etc/passwd、/etc/shadow、/etc/sudoers 权限与近期变更。风险分紧急、高、中、低四级，并附入侵响应清单（隔离、取证、凭据轮换、后门清理、补丁、加固、复盘）。集成 SecurityCheck MCP 工具，可做安全评分与 10 项检查。
使用方式：默认只读执行，按七步工作流先确认目标、环境与授权范围，再盘点现状、选择最小影响路径、生成 security-audit-report、校验证据、处理失败路径并交付摘要。写操作、高危操作需明确授权；生产变更须先确认备份、维护窗口与回滚路径。
适用场景：用户明确要求审计宝塔服务器的上述风险，且已提供或可安全取得必要上下文。
限制：不自动删除可疑文件或隔离生产服务；不绕过鉴权与安全控制；不收集、存储或上传凭据，报告不得含完整 token、密码或密钥；不关闭 TLS 校验、不执行来源不明脚本；缺失证据不得编造成功结论。具体命令输出与配置值需以实际环境为准。