这是一个创建于 365 天前的主题，其中的信息可能已经有所发展或是发生改变。
一台旧 windows 电脑放在公司用 frp 暴露在公网上，弱口令，方便平时在外远程
今天早晨发现路由器网络有异样，登录查看日志，发现很多 frp 登录记录
立即警觉，发现那台旧 Windows 密码被改了，赶紧断网，找回密码
登录进去后发现 在系统 Picture 文件夹被人新建了一个名为 FAT 的文件，里面放了一堆密码查看的工具
有一个查看 Chrome 密码记录的软件是打开的，我平时常用网站的密码应该都泄露了，苹果、QQ 、淘宝、京东...
他还扫描了局域网内其他的电脑，用我 Chrome 里面的密码尝试登录其他电脑（应该没有成功）
求助各位大佬，目前这种情况有哪些风险，如何减小密码泄露带来的损失呢
第 1 条附言 364 天前
刚才发现旧 Windows 里 Windows Defender 被禁用了
所有 exe 文件的"修改时间"全部变成 被入侵的时间了，被种了木马, 准备全部格了重装
所有 exe 文件的"修改时间"全部变成 被入侵的时间了，被种了木马, 准备全部格了重装
第 2 条附言 363 天前
我的主要应用场景是在外用 iPhone 远程做一些操作，所以网络结构不能太复杂
 | 1 maxwellz 2024-11-26 12:22:04 +08:00  1 把 chrome 的密码导出来，先把一些优先级高的密码改了 |
 | 2 huaxing0211 2024-11-26 12:23:52 +08:00 1 弱口令是大问题，当然 frp 开启远程桌面是强烈不建议使用简单的 tcp 模式的，容易爆，而应该是 stcp+xtcp ，自带复杂的 secretKey ，端口也不暴露，本机使用“127.0.0.1:端口号”来登录，甚至可以使用“allowUsers ”来进一步的简单限制登录者！ |
 | 3 NGGTI PRO 1 先重装所有电脑吧，修改所有密码。不要有侥幸心理。 |
 | 4 deepbytes 2024-11-26 12:31:15 +08:00 via iPhone 1 备份重要数据，格式化旧 windows ，使用微软账号登陆，配合强密码 重要帐户修改为高强度密码后启用双因素认证 后续，使用密码管理工具，禁用 chrome 密码管理 Frp 如果要继续使用，修改认证密码，在 rdp 上套个 ssh 吧 |
 | 5 Byleth 2024-11-26 12:33:49 +08:00 你是把 3389 暴露在公网了？ |
| 6 Byleth 2024-11-26 12:35:13 +08:00 估计直接把 cookie 全偷走了吧，要是有某些不支持改密码后下线所有设备的服务，改密码也没用了 |
 | 7 yinmin 2024-11-26 12:37:30 +08:00 via iPhone 2 赶紧把所有密码都改了，要快。被黑的电脑要格掉重装。 frp+rdp+弱口令=作死三件套，很多人中招，甚至企业被黑，违反规定私设 frp 的员工被送进局子。 现在网络上盲扫 rdp ，登录后加锁文件勒索比特币，已经成黑产自动化一条龙了。 重要的事情说三遍：rdp 不要直接暴露在公网上，rdp 不要直接暴露在公网上，rdp 不要直接暴露在公网上。 |
 | 8 frankilla 2024-11-26 12:52:57 +08:00 chrome 密码明文，因为这个我就完全不用它保存。 |
 | 9 totoro625 364 天前 1 旧电脑属于可信认环境，基本上所有账户，和关联账户都丢权了 所有账户都有可能被盗，公司内部其他电脑使用弱密码的也可能被入侵 后续入侵不像是自动化入侵的，应该是有个人主动操作的 报警吧，个人能力解决不了的 |
 | 11 xuanbg 364 天前 在公司用 frp 简直就是作死。在 V2 上经常有人问怎么在公司开 frp 远程操作公司的电脑，实在是无法理解这种行为。不是，你图啥啊 |
| 12 deepbytes 364 天前 via iPhone 1 再读题干，楼主是不是觉得方便，私自搭建 frp 后，实现公网环境下远程连接自己的旧电脑，做一些公司的事情，这样可以不带电脑回家办公… 访问公司内部系统，很可能公司内部 VPN 客户端也在这台旧电脑上，那就一窝端了… |
 | 13 somebody1 364 天前 1 我记得有很多帖子，很多人为了方便，就来问跟楼主这样方便一点的方法有没有，大家都是劝诫为主，这个帖子导致这个结果真的是不意外。 我唯一意外的是，frp 暴露在公网，为什么还要弱口令？长一点的好记一点的密码很多吧，另外就是你都弱口令了，为什么还要 chrome 还要记录自己的密码？ 还有一点就是，你全篇没有确认黑客有没有横向移动，这种情况下报警+请网络安全公司过来做个服务支撑是最好的。即使你改了密码，黑客横向移动之后也可以想办法回连自己，你们公司的资产就一直在黑客的掌控下了。 |
 | 14 mdb 364 天前 我是家里的电脑装 frp ，可以从公司远程回去，frp 服务端部署在腾讯云上，远程的端口限制了只能公司 IP 和家里 IP 访问，不知道这样安不安全 |
 | 15 cjban 364 天前 我司上周刚被勒索了，数据库没有备份，最后花钱找的解密公司解密。 这件事中令人难以置信的是程序员电脑竟然没有设密码= = |
 | 16 james122333 364 天前 via Android 心是真的很大 安全机制上完全过不了关 还用 windows 并且私密东西放上面那就... |
 | 18 seanxx 364 天前 2 感觉你要进局子 |
| 19 james122333 364 天前 via Android 远程开放并且可偷的东西都放上面 搞不懂这是什么操作 既然是远控 你身边手的机器才是管理员 顶多相互保证 |
 | 20 onikage 364 天前 1 公网弱口令就别说了，下次吸取教训吧。 |
 | 21 nxforce 364 天前 1 没杀毒软件嘛？这些密码查看工具应该很容易识别吧，就是 Windows defender 都能干掉不少间谍泄密软件。 |
 | 24 zgzhang 364 天前 2 @alan9999 做安全的人真的觉得你这种行为该死呀，如果是专业一点的话，需要最几件事情： 1. 首先所有系统全部更改密码，并且查看关键系统的登录记录 2. 老旧的 windows 马上重装 3. 如果有日志的话，根据日志判断失陷主机的过往扫描范围，如果可以这些主机全部重装 另外如果你这种行为，发生在一个关注安全的大型公司，大概率要被开除，所以后续不要搞骚操作了 |
| 25 james122333 364 天前 via Android |
| 29 james122333 364 天前 via Android |
| 30 zgzhang 364 天前 3 @alan9999 现在有很多公网的攻击面测绘工具，比如 fofa 、鹰图可以快速找到把服务开在公网的 frp 服务，你是最傻的一种，用了弱密码，你这种开上两天我估计能进来几波不同的人，即使是强密码，你能确定 frp 没有漏洞吗，至于怎么做，搞个 VPN 不好吗，方便是方便了，出个事会死人的，我见过一个判刑的 case ，操作跟你一样，只不过他运气比较差，通过这个跳板连接了业务数据库，然后非常多的数据被加密勒索，最后就是三年 |
| 31 zgzhang 364 天前 |
 | 32 villivateur 364 天前 2 出了说一句“活该”，以及赶紧重装系统改密码以外，还能说什么呢？总不能跟你们老板自曝说你们公司的机密可能因为你被泄露了吧。 |
 | 33 sparkssssssss 364 天前 非 administrator ,加十几位密码,然后 frps 上脚本定时检查,有爆破的 ip ban 掉.一般问题不大吧 |
 | 34 cominghome 364 天前 远程值守为啥不考虑 TeamViewer 这样的软件，哪怕装个国产向日葵呢？ |
 | 35 wheat0r 364 天前 1 我觉得 frp 只适合暴露对外提供的服务，自用服务就根本不该用 frp 。 别的都没什么可说的了。 |
 | 36 lavvrence 364 天前 3 Tailscale 无论是便捷程度和安全性都完爆 frp 。 |
 | 37 dbak 364 天前 1 人家 frp 都提供了安全的暴露内网服务的方式 用 stcp 或者 sudp 你这直接暴露在公网还弱口令 还是公司内网 公司安全部门要是查出来 给你开了都活该 |
 | 38 alan9999 OP @joyhub2140 Windows defender 应该是被第一时间关闭了 |
 | 39 huangsijun17 364 天前 1 个人建议，试试看 RDP over SSH 。微软给了 OpenSSH 的官方支持，预装客户端，选装服务端。使用秘钥验证的话，基本不可能有爆破的可能了。你 FRP 反代 SSH 的 22 端口出来，连接时使用 ssh 自带的端口隧道映射 3389 到本机，再去远程桌面链接。 |
 | 40 Byleth 364 天前 @jaylee4869 确实，还是零信任来的安全，除非 ts 自己爆漏洞 |
 | 43 hafuhafu 364 天前 经典操作，而且还经常能在 V2 上面看到。实际上既不方便，也不安全。 密码泄露改密码完事，有些网站能注销会话的顺手注销一下。对你个人而言影响其实不算很大。 你得庆幸公司没出啥问题。 |
 | 44 Satansickle 364 天前 @yinmin 是啊，我就中过招，现在 rdp 只敢走 v6 连接，v4 坚决不敢暴露，另外部署好 ipban+强用户名+强口令+跟随更新，两三年没被扫过了。 |
 | 45 ShinichiYao 364 天前 1 administrator 用户？我觉得除非 rdp 自身漏洞，不是默认用户名哪怕爆破连用户名都很难猜出来 |
 | 46 noyidoit 364 天前 1 公网、弱口令、公司、横向*应该*没有成功......欢迎收录至“你见过在工作中捅过最大的篓子是什么” |
 | 47 user100saysth 364 天前 1 你唯一应该感到庆幸的是，现在很多网站自带二次动态验证，没验证码根本登不上 |
 | 49 x86 364 天前 公司开 frp 可厉害了 |
 | 51 fugu37 364 天前 @user100saysth #47 cookies 可以绕过登录直接操作账户 |
 | 52 fbichijing 364 天前 1 有没有办法获取到远端连接的 IP ，溯源去搞他/她，如果没有跳板的话... 还是说，这种想法太天真了？ |
| 54 alan9999 OP @ShinichiYao 不是 Administrator ，用户名也很弱，4 个字符，应该很容易猜出来 |
| 55 alan9999 OP @fbichijing 我看了登录记录，IP 很杂有韩国、香港、瑞士 苏黎世、西安，应该用了代理 |
 | 56 FawkesV 364 天前 我是 Tailscale 感觉打洞成功 能够直联 也不卡的呢 |
| 58 ShinichiYao 364 天前 @sazima RDP 如果出 0day 肯定满世界头条新闻了，微软也绝对会第一时间补上漏洞，真手里有这等级的漏洞的人也不会拿来搞普通用户 |
| 59 yinmin 364 天前 1 @erxiao #57 如果您通过互联网 IP 访问远程桌面，那么远程桌面协议（ RDP ）就会暴露在互联网上。弱密码可能被黑客破解，而且如果微软的 RDP 出现零日漏洞，黑客同样可以利用。因此，建议使用更安全的 stcp 。 |
 | 60 guo4224 364 天前 还惦记自己 qq 呢？赶紧想想怎么跟你们老板交代吧。 |
 | 61 luis330 364 天前 那借楼问一下，我先 wireguard VPN 回服务器，服务器上起 frps ，然后再使用 frpc 通过 stcp 连接 VPN 的私网 IP ，风险如何？ 主要使用的是 frpc 的 socks5 代理 插件功能。 |
 | 64 zuotun 364 天前 1 注意审题：如何减小损失，我觉得提桶跑路比较实在，运气不好可能就要被公司送进去了。 |
 | 65 superBearL 364 天前 公司的东西还是得小心，轻则丢几个密码，总则追责追到进局子 |
 | 67 lesterchen 364 天前 我记得一个新闻,好像是小米还是哪家公司的员工就是像你一样内网穿透暴露到了公网,然后被黑了,最后进去了~ |
 | 68 hack2012 364 天前 1 记得把所有密码修改一遍 |
 | 69 wukaige 364 天前 吓得我赶紧把 frpc 服务关掉 :< |
 | 70 virtualworld 364 天前 公司电脑，除了工作，不要做任何其他事情。实在想上淘宝，手机上不好嘛 |
 | 71 xqk111 364 天前 1 吓得我也关了 |
 | 72 GrayXu 364 天前 居然没被开除，最宽松的一集 |
 | 73 Altairvelvet 364 天前 配置 FRP 的服务器，你多少也得安装一个 CSF 管理防火墙吧？ |
 | 74 tabc2tgacd 364 天前 @Byleth 3389 暴露在公网不是什么大问题，主要问题是弱口令。我自己家里也有一台电脑通过 ssh 反向代理暴露在公网，从来没出过问题。不过我这台电脑放在一个单独子网里，就算被扫描到，还猜到密码了，也不至于全军覆没。 |
 | 75 qwwuyu 364 天前 @dbak stcp 是 内网主机(加密客户端) <-> 公网主机(加密主机内部端口) <-> 本机(加密客户端) 这样子访问吗? 还是说只有内网主机和公网主机之间是加密的,那样感觉还是不安全呀 |
 | 76 blackguester 364 天前 入侵你的伙不也在看帖子？ |
 | 77 phrnet 364 天前 弱口令是最大的问题 我今天也被爆破 RDP 不过没弱口令跟 360 对方老实了 |
 | 78 rqYzyAced2NbD8fw 364 天前 @Satansickle #44 https://news.ycombinator.com/item?id=42161517 什么时候大规模出现扫 v6 机器人你要完蛋。暴露 v6 说白了还是 security by obscurity, 迟早要出事的 |
 | 79 jedihy 364 天前 报警吧 |
 | 80 aulayli 364 天前 安全意识太差了，win 暴露公网没问题，3389 暴露也没问题，问题在于你的弱口令，win 要暴露公网最好用微软账户进行登录。 |
 | 81 yyyb 364 天前 1 心真大，这次应该能长点记性 |
 | 83 Lynntox 364 天前 1 公司 内网这些根本不敢动 不出事都好说 出事了都是屎 |
 | 84 yaott2020 364 天前 via Android 1 楼主这种行为真是纯纯找死，为了图方便居然用弱口令？ frp 里有个 stcp 为啥不用呢 |
 | 85 lazyyz 364 天前 via Android 1 借楼问一下，使用 zerotier 或 tailscale 组网再访问是否能保证安全？ |
 | 86 ZGame 364 天前 上第三方！ 超融合花钱买平安 |
 | 87 pigf 364 天前 弱弱的问一句，公司电脑 toDesk 和向日葵常年开着，会有问题吗？ |
 | 88 renmengkai 364 天前 1 修改所有账号密码、重装系统就好 |
 | 89 duck2 364 天前 坏了，被人打进公司内网，提前和信息部门沟通吧，别真整出啥幺蛾子造成损失， |
 | 90 coldle 364 天前 内网其他设施有 2fa 吗？建议先想办法排查下其他机器有没有被入侵免得进局子 |
 | 91 devtk 364 天前 你居然敢用公司网络，你是真的勇 |
 | 92 shingoxray 364 天前 涉及钱和隐私的，没有双因素认证的，赶紧改密码+双因素。 现在黑客门槛很低，黑客工具泛滥，没事不要开公网，更别提还在使用弱密码了。 |
 | 93 sazima 364 天前 @ShinichiYao 也可能 frp 0day |
 | 94 Hyvi 364 天前 via iPhone 赶紧把 ssh 代理去掉，只保留了 http 服务端口。 |
 | 95 akiraz 364 天前 借楼问一下，frp 暴露的 ss 服务端口，再连回家这样安全吗 |
 | 96 tangchi695 364 天前 1 电脑没装杀软吗？我也是公司的一台 windows 电脑开了端口映射把远程桌面映射到公网，还映射了一堆服务。天天都能看到杀软的日志显示有人尝试黑进来 |
 | 97 liuzimin 364 天前 @tangchi695 你们装的哪家杀软啊？ |
| 98 tangchi695 364 天前 @liuzimin 就随便装的一个国产的啊，说名字感觉又像打广告了，反正国产的就那几家感觉都大差不差的。 |
 | 99 mmdsun 364 天前 这安全太薄弱了。改端口没卵用的。上一个在 v 站还是知乎看到的，已经进去了。想办法降低 损失吧。 |
Select Language