公网使用飞牛 nas 的一些安全使用小提示--感谢飞牛官方团队

看完这个描述，不会是 MiTM ，一定是有什么漏洞的。楼主如果没有什么介意的隐私的话，可以把系统日志打包 po 上来看看

在脱敏的情况下可以透露出更多技术细节么，目前 OP 说明的一些东西感觉和 mitm 关系不是很大，特别是 OP 提到的“安全人员反馈我收到的就是疑似中间人攻击，问题源自于 5666 的明文 http 注入”，如果厂家的某个技术真这样说，那么至少这句话在我这是个减分项（不是针对打工人，而是针对企业，安全事件反馈用户的内容是应该经过内部讨论后的严谨说明）。当然也有可能 OP 描述的和技术细节有一些偏差。

OP 有提到也有其他使用 FNOS 出现类似的问题，那么建议 OP 和飞牛讨论后再考虑是否公布技术细节，如果这是一个在野的 0day ，那么公布细节会增加漏洞的传播，这种情况下我们只能希望飞牛团队能尽快修复这个洞并后续能说明漏洞细节。

我也在使用飞牛，飞牛登录的时候不是有双重验证（ 2FA ）吗？为何这样还会被攻击

就是有漏洞，路径穿越漏洞

@yGin 路径穿越漏洞,飞牛论坛搜 0day 可以看见，1.1.15 已修复

@patrickyoung 路径穿越漏洞,飞牛论坛搜 0day 可以看见，1.1.15 已修复

最新版已经修复了这个漏洞了，但是不公告，真的太不负责了
react 和之前宝塔的 888 洞至少通过短信和邮件通知了

@a9htdkbv #47
看来这个企业责任心不强。

@levelworm 何止是责任心不强, 是对所有使用它们系统用户的数据安全不负责任, 并且看起来至少一周前他们就已经意识到了这个漏洞, 期间一直捂着, 还用因 http 明文访问和中间人攻击来隐瞒用户, 以至于这篇贴主最开始还感谢飞牛团队, 实则是被它们忽悠蒙在鼓里信了它们找的中间人攻击这种鬼话, 想想真是讽刺

https://club.fnnas.com/forum.php?mod=viewthread&tid=53230

自己的数据不值钱么, 用这种没经过长时间验证, 开发团队背景不明的产品

一开始在到处宣传我就觉得奇怪, 你们怎么敢用

凌晨 2 点加班解决问题，我看到是不是敬业，而是资本的压榨和底层牛马的心酸。

还下不到历史版本，下载链接还有签名...合着全拿来防用户了...

找到了 151.240.13.91 ip 。还是用用黑裙了

找了个历史版本的 docker 看了下，其实日志还蛮多的...等一个有缘人看看能不能有日志

@wskymark #4 这可是掉脑袋的事儿，加个班到 2 点能糊弄过去，那也算阿弥陀佛了

@patrickyoung 我能找到的有记录的版本是 https://iso.liveupdate.fnnas.com/x86_64/trim/fnos-1.1.11-1438.iso, 然后拿官方的那个 https://fnnas.com/api/download-sign POST JSON `{"url": "https://iso.liveupdate.fnnas.com/x86_64/trim/fnos-1.1.11-1438.iso"}` 签个名就行

@Hantong 那我还是太高估他们了……下意识以为是一次性在后端生成的……闹半天单独签名 api…跟没签也没区别了…

@patrickyoung 老兄是要逆向分析么, 这件事就缺个逆向证据进一步实锤了

目前看来并不是 MITM 而是路径穿越漏洞。如果是大规模 MITM 意味着是运营商有内鬼，出这种事运营商比你更急。

@lyz2754509784 #45 我搜了一下 1.1.15 发布时间是 1 月 22 日，updatelog 里没有提到修复这个 0day ，无论是飞牛轮胎还是一些社群网站如 nodeseek ，在本周内都有提到飞牛攻击的事，可以 Google 就出来的，包括昨晚凌晨我刷飞牛论坛也有人提到自己的 1.1.15 ，但是也出现 CPU 高占用/有大量连接/大流量等情况，并且现在社区的维护人员也提到让用户查询是否大量下载/上传任务，在 0day 贴里也有人提高到 dockermgr







这些图全是我截图的 里面部分时间为相对时间。

不同的用户技术水平不一样，不是所有人都有 OP 这种能力判断自己被当作肉鸡，能发现自己 CPU 负载异常/大量连接/流量大少之又少，所以如果我们把那些最近系统组件大范围停止工作、流量异常、CPU 负载的用户都认为是被 0day 攻击的话，那么至少可以得出 1 月 22 日发布的 1.1.15 是没有解决用户被肉鸡这个事，飞牛是否有推出新的小的修订号来修正 0day 目前不清楚，但是用一个“1.1.15 已修复”的说法是非常模糊的，甚至带有误导性，让有运行着 1 月 22 日版本的用户觉得是自己安全的。

目前社区看下来普遍还是当肉鸡，没有提到被劫持数据的案例，飞牛我印象中是没有磁盘加密功能的了，如果出些大面积的数据劫持那么这次 0day 对飞牛的打击是巨大的。

目前还未发现有说自己是非公网环境下中招的，不过至少能确定昨天的疑问，就是 mitm 并不是正确的回应。

希望飞牛能尽快解决漏洞并给出官方的说明报告吧。