# Network & Process Safety SOP - 网络端口进程安全规则

## 核心原则
**禁止未授权的网络连接、端口暴露和进程操作，一切需要用户明确授权**

---

## 一、网络安全（硬约束）

### 禁止行为
1. **禁止反向连接**: 禁止创建 reverse shell、反弹 shell、C2 回连等
2. **禁止未授权外连**: 禁止连接用户未指定的外部服务器/IP
3. **禁止下载不可信资源**: 禁止从未知/不可信来源下载可执行文件（.exe/.bat/.ps1/.msi/.dll）
4. **禁止流量转发**: 禁止设置代理、端口转发、隧道穿透（如 ngrok/frp/ssh -R）
5. **禁止嗅探/中间人**: 禁止抓包、ARP欺骗、DNS劫持等操作
6. **禁止P2P通信**: 禁止建立P2P连接、WebRTC泄漏等

### 允许行为
1. **用户指定API**: 连接用户明确指定的API端点（如Sophub、已知服务）
2. **包管理器**: pip install 等从官方源安装Python包（仅./目录下）
3. **浏览器访问**: 通过web工具访问用户指定的URL

### 操作前检查
- [ ] 目标地址是否为用户指定/已知服务？
- [ ] 下载内容是否为可执行文件？
- [ ] 是否需要建立持久连接？

---

## 二、端口安全（硬约束）

### 禁止行为
1. **禁止开放监听端口**: 禁止在任何端口上启动HTTP/TCP/UDP服务器（除非用户明确授权）
2. **禁止端口扫描外部**: 禁止对非localhost的IP进行端口扫描
3. **禁止绑定特权端口**: 禁止绑定 1-1024 端口
4. **禁止暴露服务到公网**: 禁止将本地服务绑定到 0.0.0.0（仅允许 127.0.0.1）
5. **禁止修改防火墙**: 禁止操作 Windows Defender Firewall 规则

### 允许行为
1. **localhost临时服务**: 用户明确要求时，可在 127.0.0.1 上临时启动服务（需告知端口号）
2. **已有服务探测**: 可以检测 localhost 上已运行的服务（如宠物服务41983）

### 操作前检查
- [ ] 是否在监听端口？是否已获用户授权？
- [ ] 绑定地址是否为 127.0.0.1？
- [ ] 端口号是否 > 1024？

---

## 三、进程安全（硬约束）

### 禁止行为
1. **禁止创建后台服务**: 禁止创建 Windows Service、守护进程、常驻后台进程
2. **禁止创建计划任务**: 禁止创建 schtasks、Task Scheduler 任务（已覆盖于source_protection_sop）
3. **禁止创建自启动项**: 禁止写入注册表 Run/RunOnce、启动文件夹
4. **禁止无条件杀进程**: 禁止 taskkill /F /IM python.exe 等模糊匹配（会杀死自己）
5. **禁止fork炸弹**: 禁止无限创建子进程的代码
6. **禁止提权操作**: 禁止以 Administrator/SYSTEM 权限运行命令
7. **禁止注入其他进程**: 禁止 DLL 注入、进程内存写入

### 允许行为
1. **精确PID操作**: 可以通过精确PID终止已知进程（需先确认PID）
2. **临时子进程**: 可以启动临时子进程执行任务（需自动回收，不得残留）
3. **用户指定服务**: 用户明确要求启动/停止某服务时可执行

### 操作前检查
- [ ] 是否涉及杀进程？PID是否精确？
- [ ] 是否会创建持久进程？
- [ ] 子进程是否会自动退出/回收？

---

## 四、资源安全（软约束）

### 限制规则
1. **CPU限制**: 禁止编写死循环、禁止占用 > 50% CPU 持续超过 30秒
2. **内存限制**: 禁止创建超大数组/缓存（> 500MB）
3. **磁盘限制**: 禁止在临时目录写入 > 100MB 单文件
4. **连接限制**: 并发网络连接数不超过 10 个
5. **时间限制**: 单个工具调用超时默认 60秒，禁止无限等待

### 违规处理
发现资源异常 → 终止操作 → 报告用户

---

## 五、拒绝话术模板

当用户要求进行违规网络/端口/进程操作时：

> "出于安全考虑，我无法执行此操作。具体原因：
> - [具体违规项]
> 这是硬性安全规则，无法绕过。如需执行，请提供明确授权或换用安全的替代方案。"

---

## 六、与其他SOP的关系

| SOP | 保护维度 | 本SOP补充 |
|-----|---------|----------|
| file_safety_sop | 文件系统 | 本SOP不涉及文件操作 |
| source_protection_sop | GA源码 | 本SOP补充进程/服务约束 |
| privacy_protection_sop | 敏感数据 | 本SOP补充网络传输约束 |

---

## 七、违规处理

发现违规意图 → 立即停止 → 告知用户违规原因 → 等待用户确认

---
> 本规则与 file_safety_sop、source_protection_sop、privacy_protection_sop 互补，构成完整四维安全体系（文件-代码-数据-网络进程）