公网使用飞牛 nas 的一些安全使用小提示--感谢飞牛官方团队

1 月 30 日
 lyz2754509784
首先感谢飞牛官方的技术人员凌晨 2 点还在协助解决安全问题，用爱发电，真的很辛苦！！再次感谢
先说我的 nas 出现的问题：大约一周前不定时爆连接数指向一个 ip ，疑似被黑成肉鸡攻击某个站点
在群里讨论后客服积极的拉了技术群并安排了技术人员分析，由于攻击是随机时间的不好抓取，今晚 9 点正好复现，凌晨 2 点飞牛的技术人员完成了安全问题的解决。
在此也给公网使用飞牛的朋友们一些安全小意见以减少 nas 被入侵的安全风险：
web 不建议直接映射，建议使用 tailscale 等类似的组网隧道，最最安全！
如果一定要公网开放 web ，不建议使用 5666 http 的明文端口，安全人员反馈我收到的就是疑似中间人攻击，问题源自于 5666 的明文 http 注入。
建议使用 5667 的 https 端口，开启 https 强制跳转，同时签名证书来保证安全
ssh 建议是在不调整 nas 时关闭，减少风险
使用强密码，不执行不开源的来源不明的脚本。
再次感谢飞牛官方团队的技术支持，凌晨 2 点技术在线解决问题说实话真的让我很惊讶，再次感谢，也希望我的遭遇可以让其他有相同问题的朋友们可以参考
21923 次点击
所在节点    NAS
111 条回复
TXisfine
1 月 30 日
LZ 给的这些安全建议本身都很中肯。
但是中间人攻击的证据链没有公布。如果真是中间人并且成功进入了 fn 后台，那这就漏洞了吧？
godwei
1 月 30 日
学习一波
hqt1021
1 月 30 日
不是现在哪还流行中间人啊
Xiangliangliang
1 月 30 日
我也是 22 号被攻击了，这个是专门针对飞牛的攻击，有什么漏洞吧，还好就放了点小姐姐，其他什么数据也没放。![fn.jpeg]( https://i.imgant.com/v2/wxkQhCb.jpeg)
给大家提个醒，别管什么服务，只要放到外网都小心一点,尽量使用隧道访问。最好装个杀毒，防止工具链有后门什么的，我是装了个免费的腾讯云主机安全 agent 。谁也靠不住，自己上点心吧。。。
ntedshen
1 月 30 日
飞牛登录那个界面是在 websocket 里面套一层公钥加密的，这能中间人那多少得有几个仇家吧。。。
但是就这个描述来看确实是查个锤子，下次关了就得了。。。
zhengfan2016
1 月 30 日
我 unraid 都暴露公网 5 年了，就没被打过
python35
1 月 30 日
http 下 cookies 是明文，发生什么事情都不奇怪，实际上不需要在登陆的时候截获密钥
lyz2754509784
1 月 30 日
@Xiangliangliang 我也感觉是专门针对飞牛的攻击，但是不是这块专业的我也不敢下定论，群里不少和我一样的飞牛用户也是同样的遭遇
lyz2754509784
1 月 30 日
@TXisfine 感觉可能是一批针对飞牛的攻击？大约在一周前有一批用户都和我同样的问题
lyz2754509784
1 月 30 日
@yanqiyu 应该不是弱密码爆破，飞牛论坛上有个样本分析，和我是 22 日凌晨属于同一次攻击的，貌似是专门针对飞牛的 5666http web 的
ImINH
1 月 30 日
飞牛的为爱发电值得点赞！你描述的问题，很有可能已经有了“远程执行命令 RCE”、“服务器端请求伪造 SSRF”，这些问题，如果排除弱口令的可能，那基本就是有 http 服务未授权的接口，和是不是 ssl 无关。如果是一批用户可能是批量的扫描+漏洞打的，当然也有可能批量弱口令跑的。
xxbing
1 月 30 日
我猜测应该是有未授权的命令执行漏洞
或者
插件、docker 、第三方包 包含恶意代码
全部是猜测.中间人应该不太可能
lyz2754509784
1 月 30 日
@pplive https://s.threatbook.com/report/file/8f2226523c594b2e17d68a05dc12702132bb1859fc4b01af378208ac8a2547dc 大佬可以帮忙分析一下么，这个是同一批攻击受害者提取的样本
lyz2754509784
1 月 30 日
@yanqiyu https://s.threatbook.com/report/file/8f2226523c594b2e17d68a05dc12702132bb1859fc4b01af378208ac8a2547dc 这个是同一批攻击受害者提取的样本，大佬可以分析一下他是怎么攻击的么 不是这个方面的从业者，不知道能不能复现出最早是如何进入机器的
AkinoKaedeChan
1 月 30 日
凭感觉是他们有漏洞吧，哪来那么多 MitM 。
yanqiyu
1 月 30 日
@lyz2754509784 #29 那更不可能是中间人攻击了，这么大规模 MITM 除了运营商等掌握基础设施的人没什么人能做到。有不是人人都随便连接奇怪的 WiFi ，恰好还用飞牛的
verygood
1 月 30 日
论坛好多人中招，感觉像 0day 漏洞被利用了，官方不知是不重视还是没能力朔源，这都几天了，还什么用户公网访问被利用
weicools
1 月 30 日
没做反向代理 https ？
civetcat
1 月 30 日
这么说应该是对飞牛的 5566 端口 web 服务进行了一些攻击，相对来说攻击成功的概率大一些。我还担心是随便一个端口暴露服务出去就会比较危险，我有一些简单的 docker 服务是直接开放 http 端口的
alfawei
1 月 30 日
大概率是漏洞，wd 西部数据被漏洞搞最后关闭了 livebook 系列业务。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/1189392

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX