笔记
0工具
0此页用于记录用户反馈问题后的每一次改进
关于
“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
不想公开、只想临时给人看：点“分享”生成一条带密码和有效期的链接，到期自动失效，你也能随时撤销。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
趋势
几个 kworker 把 CPU 占满，ps 的方括号暴露它是假内核线程
一台 4 核的小机器，平时 load 也就 0.2 上下，跑个 nginx 加一个 Python 服务。有天监控报警 CPU 使用率持续 95% 以上，上去 top 一看，占了四个核的进程名字清一色是 kworker，还带不同的数字后缀。第一反应是内核在忙什么，但 load 高得离谱，而且我机器上没跑什么重活，这不正常。
ps 里有个细节能分辨真假内核线程：真内核线程在 ps 的输出里，名字是带方括号的，比如 [kworker/u4:1]、[kthreadd]，而且你 kill 不掉、/proc 下面没有可执行文件路径。假的那类进程，虽然把自己 comm 改成了 kworker，但 ps 打出来不带方括号，因为方括号是内核线程的标志，用户态进程改 comm 也改不出这个显示效果。我 ps -eo pid,ppid,comm,args | grep kworker 一看，有几个进程 comm 叫 kworker 但 args 那一列是空的，ppid 也不是 2（kthreadd 的 pid 一般是 2），方括号一个都没有——铁定是用户态伪装的。
顺着 pid 查 exe：ls -l /proc/PID/exe，指向 /tmp/.x11/... 下面一个删不掉的文件，而且后面带着 (deleted) 标记，说明程序启动后把自己在磁盘上的文件删了，只留进程在内存里跑。这是挖矿程序很常见的藏法：用 top 看名字像系统线程，用 netstat 又看不到明显的连接——它连的是矿池的 443 端口，混在正常 HTTPS 流量里，不细看 ss 的输出根本发现不了。
我把排查命令记一下，下次直接照着来。看谁在偷跑：top -b -n1 -o %CPU | head -n 20。找异常进程的可执行文件：for p in /proc/[0-9]*; do ls -l $p/exe 2>/dev/null; done | grep deleted，这条能把“运行中但文件已删”的进程全揪出来，正常情况下这条应该是空的，有输出就要逐个看。看外联：ss -antp | grep ESTAB，对照进程 pid 和远程端口，443 大流量不明进程重点怀疑。看有没有定时任务在拉东西：crontab -l、ls /etc/cron.d/、cat /etc/crontab、systemctl list-timers，挖矿程序普遍靠 cron 或者 systemd timer 做持久化，杀了进程不删这些，过几分钟又活过来。
我这台的处理过程：kill -9 把几个伪 kworker 全干掉，顺手把 /tmp/.x11 整个目录 rm 掉，crontab -l 里果然有一条每三分钟执行一次的记录，下载地址我都没敢多看，直接清掉。再把 ssh 检查一遍，确认没有后门公钥和陌生账号（那次之后我把 authorized_keys、/etc/passwd 的检查列进了固定流程）。进程杀掉之后 CPU 立刻回落到正常，说明不是别的原因。
还有两个没细究的地方记一下。一个是它到底怎么进来的，我翻了 auth.log 只看到被 fail2ban 挡掉的爆破记录，没找到明确入口，怀疑是某个暴露的老服务，或者密码泄露，没深挖就把相关密码全换了。另一个是伪 kworker 的进程名后缀是不是随机生成的，我看到的几个后缀不连续，像是有意模仿多核 kworker 的命名规律，但没去逆向它的样本，删得太快。总体结论：看到 kworker 占 CPU 先别急着怀疑内核，ps 有没有方括号、ppid 是不是 2、exe 指向哪，三步就能分辨真假。真内核线程你 kill 都会报错，假的一刀一个准。
排查挖矿还有个方向是看持久化到底写在哪。我当时把 /etc/cron.d、/var/spool/cron/crontabs/root、还有 /etc/systemd/system 下新增的 unit 文件都翻了一遍，挖矿程序不一定走 cron，也可能注册成 systemd timer，服务名起得像系统组件，比如 systemd-update.service 这种，不点开看 ExecStart 根本不会怀疑。ExecStart 指向 /tmp 或者 /var/tmp 下脚本的基本有问题。再往上还有一层 ld.so.preload，这个文件要是被写了，所有进程的动态链接都会被劫持，ls、ps 的输出全是过滤过的假象，top 里自然看不到挖矿进程。查法简单：cat /etc/ld.so.preload，正常该是空的或者不存在，有内容就得追。我这次运气好没遇到 preload 这种高级货，但见过别人中招，症状是文件怎么都清不干净、命令输出和实际对不上，最后重装才了事。清理完我顺手把 fail2ban 的状态和系统自动更新确认了一遍，别刚清完又被同一条路进来。