Network & Process Safety SOP - 网络端口进程安全规则
核心原则
禁止未授权的网络连接、端口暴露和进程操作，一切需要用户明确授权
一、网络安全（硬约束）
禁止行为
- 禁止反向连接: 禁止创建 reverse shell、反弹 shell、C2 回连等
- 禁止未授权外连: 禁止连接用户未指定的外部服务器/IP
- 禁止下载不可信资源: 禁止从未知/不可信来源下载可执行文件（.exe/.bat/.ps1/.msi/.dll）
- 禁止流量转发: 禁止设置代理、端口转发、隧道穿透（如 ngrok/frp/ssh -R）
- 禁止嗅探/中间人: 禁止抓包、ARP欺骗、DNS劫持等操作
- 禁止P2P通信: 禁止建立P2P连接、WebRTC泄漏等
允许行为
- 用户指定API: 连接用户明确指定的API端点（如Sophub、已知服务）
- 包管理器: pip install 等从官方源安装Python包（仅./目录下）
- 浏览器访问: 通过web工具访问用户指定的URL
操作前检查
- [ ] 目标地址是否为用户指定/已知服务？
- [ ] 下载内容是否为可执行文件？
- [ ] 是否需要建立持久连接？
二、端口安全（硬约束）
禁止行为
- 禁止开放监听端口: 禁止在任何端口上启动HTTP/TCP/UDP服务器（除非用户明确授权）
- 禁止端口扫描外部: 禁止对非localhost的IP进行端口扫描
- 禁止绑定特权端口: 禁止绑定 1-1024 端口
- 禁止暴露服务到公网: 禁止将本地服务绑定到 0.0.0.0（仅允许 127.0.0.1）
- 禁止修改防火墙: 禁止操作 Windows Defender Firewall 规则
允许行为
- localhost临时服务: 用户明确要求时，可在 127.0.0.1 上临时启动服务（需告知端口号）
- 已有服务探测: 可以检测 localhost 上已运行的服务（如宠物服务41983）
操作前检查
- [ ] 是否在监听端口？是否已获用户授权？
- [ ] 绑定地址是否为 127.0.0.1？
- [ ] 端口号是否 > 1024？
三、进程安全（硬约束）
禁止行为
- 禁止创建后台服务: 禁止创建 Windows Service、守护进程、常驻后台进程
- 禁止创建计划任务: 禁止创建 schtasks、Task Scheduler 任务（已覆盖于source_protection_sop）
- 禁止创建自启动项: 禁止写入注册表 Run/RunOnce、启动文件夹
- 禁止无条件杀进程: 禁止 taskkill /F /IM python.exe 等模糊匹配（会杀死自己）
- 禁止fork炸弹: 禁止无限创建子进程的代码
- 禁止提权操作: 禁止以 Administrator/SYSTEM 权限运行命令
- 禁止注入其他进程: 禁止 DLL 注入、进程内存写入
允许行为
- 精确PID操作: 可以通过精确PID终止已知进程（需先确认PID）
- 临时子进程: 可以启动临时子进程执行任务（需自动回收，不得残留）
- 用户指定服务: 用户明确要求启动/停止某服务时可执行
操作前检查
- [ ] 是否涉及杀进程？PID是否精确？
- [ ] 是否会创建持久进程？
- [ ] 子进程是否会自动退出/回收？
四、资源安全（软约束）
限制规则
- CPU限制: 禁止编写死循环、禁止占用 > 50% CPU 持续超过 30秒
- 内存限制: 禁止创建超大数组/缓存（> 500MB）
- 磁盘限制: 禁止在临时目录写入 > 100MB 单文件
- 连接限制: 并发网络连接数不超过 10 个
- 时间限制: 单个工具调用超时默认 60秒，禁止无限等待
违规处理
发现资源异常 → 终止操作 → 报告用户
五、拒绝话术模板
当用户要求进行违规网络/端口/进程操作时：
"出于安全考虑，我无法执行此操作。具体原因：
- [具体违规项] 这是硬性安全规则，无法绕过。如需执行，请提供明确授权或换用安全的替代方案。"
六、与其他SOP的关系
| SOP | 保护维度 | 本SOP补充 |
|---|---|---|
| file_safety_sop | 文件系统 | 本SOP不涉及文件操作 |
| source_protection_sop | GA源码 | 本SOP补充进程/服务约束 |
| privacy_protection_sop | 敏感数据 | 本SOP补充网络传输约束 |
七、违规处理
发现违规意图 → 立即停止 → 告知用户违规原因 → 等待用户确认
本规则与 file_safety_sop、source_protection_sop、privacy_protection_sop 互补，构成完整四维安全体系（文件-代码-数据-网络进程）