macOS X Sierra服务器kernel_task异常及screensharing以UID 0运行问题咨询

遇到这种情况确实挺闹心的——尤其是服务器突然死机还牵扯到陌生的root进程，我来帮你梳理下可能的原因和排查解决的步骤：

可能的触发原因 #

• 残留进程未正常退出：有时候即使你主动关闭屏幕共享，网络波动、连接中断等情况可能导致进程没有彻底退出，反而以root权限残留运行，时间久了引发资源泄漏，进而触发kernel_task异常占用资源（kernel_task本来是系统用来调控CPU温度的，但异常资源耗尽会让它过度活跃）。
• 旧系统版本的bug或漏洞：macOS Sierra是比较老旧的系统，存在不少已被修复的安全漏洞和进程管理bug，这些都可能意外唤起screensharing进程并让它以root权限运行。
• 第三方软件冲突：虽然你用的是MacPorts独立的LAMP栈，但某些端口安装的工具或者系统里遗留的其他软件，可能和屏幕共享服务存在交互冲突，导致进程被意外启动。
• 未授权访问痕迹：screensharing以UID 0运行且不是你主动启动的，这也得警惕是否有外部人员通过漏洞或弱密码尝试过连接，哪怕没成功，也可能留下残留进程。

一步步排查问题 #

1. 检查屏幕共享的系统状态
   先打开系统偏好设置→共享，确认“屏幕共享”是否被勾选。如果没勾选但进程在跑，那肯定是异常唤起；如果勾选了，检查授权用户列表里有没有陌生账号。
   也可以用命令行快速查看服务状态：

   sudo launchctl list | grep screensharing
   

   看看输出里的进程状态和启动参数有没有异常。

2. 扒系统日志找启动线索
   查看系统日志，追踪screensharing进程什么时候启动的、触发源是什么：

   sudo log show --predicate 'process == "screensharing"' --start 'YYYY-MM-DD 00:00:00' # 替换成死机前的日期
   

   Sierra还保留了旧版的system.log，也可以查这里：

   sudo cat /var/log/system.log | grep screensharing
   

   日志里会记录进程启动的来源，比如是系统launchd触发的，还是其他进程调用的。

3. 检查连接授权记录
   看看有没有未授权的屏幕共享登录尝试：

   sudo cat /var/log/secure.log | grep -i screensharing
   

   这里会记录所有屏幕共享的登录尝试（成功/失败都有），能帮你判断是不是有外部访问的情况。

4. 排查MacPorts软件冲突
   先列出所有MacPorts安装的软件，看看有没有涉及远程管理、进程监控的工具：

   port list installed
   

   重点排查这类工具，也可以暂时停止LAMP栈，观察screensharing会不会再异常启动。

5. 验证系统文件完整性
   先检查系统完整性保护（SIP）是否开启：

   sudo /usr/libexec/PlistBuddy -c "Print :SIPEnabled" /Library/Preferences/com.apple.security.plist
   

   如果SIP是关闭的，系统更容易被篡改，这时候要检查screensharing的二进制文件是否正常：

   sudo md5 /System/Library/CoreServices/ScreenSharing.app/Contents/MacOS/ScreenSharing
   

   对比苹果官方提供的Sierra版本对应的哈希值，如果不一致，说明文件被篡改了。

解决办法 #

1. 终止异常进程并管控服务
   先杀掉当前的screensharing进程：

   sudo kill -9 $(pgrep screensharing)
   

   如果需要保留屏幕共享，重启服务：

   sudo launchctl stop com.apple.screensharing
   sudo launchctl start com.apple.screensharing
   

   如果完全不需要，直接禁用服务：

   sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.screensharing.plist
   

2. 安装系统安全更新
   虽然你之前怕影响LAMP栈不敢更系统，但Sierra的旧版本漏洞太多，建议安装所有安全更新（先备份好数据，避免意外）。可以用命令行更新：

   sudo softwareupdate -i -a
   

   更新后重启系统，观察问题会不会复现。

3. 加固服务器安全

   • 关掉所有不需要的远程服务，比如不用屏幕共享就彻底禁用；
   • 重置root密码，确保复杂度足够；
   • 配置防火墙，只开放LAMP需要的80/443端口和SSH的22端口；
   • 开启SSH公钥登录，禁用密码登录，防止暴力破解。

4. 修复MacPorts冲突
   如果排查出是某个MacPorts软件导致的冲突，卸载该软件或者更新到最新版本：

   port uninstall problematic-port-name
   port selfupdate && port upgrade outdated
   

内容的提问来源于stack exchange，提问作者Jerry Seeger