感觉搬瓦工后台存在非常严重的安全隐患

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

通过以下 Referral 链接购买 DigitalOcean 主机，你将可以帮助 V2EX 持续发展

This topic created in 3711 days ago, the information mentioned may be changed or developed.

在没有经过任何鉴权的情况下能够直接进入根目录

更严重的是， VNC 也没有任何鉴权，而且直接是root 权限执行

8 replies 2016-10-09 23:51:09 +08:00

lvii

Mar 1, 2016

楼主可以开启两步认证。登录后台需要两步认证。要是搬瓦工被黑了。啥也不管用。

xrui

Mar 1, 2016 via Android

任何 ovz 小鸡都是这样的，只不过搬瓦工开发面板出来给你用了

loveminds

Mar 1, 2016

@xrui 但是 Solusvm 这些，起码串行控制台是需要鉴权的

loveminds

Mar 1, 2016

另外搬瓦工并不是都是玩具或者翻墙什么的
搬瓦工的几个 IP 段搜到一个阿三的 ERP
以及好几家主机商的 cPanel 登录面板

msg7086

Mar 4, 2016

本来就不需要鉴权。你登录后台面板已经鉴权过了。账号的拥有者当然能随便看。
Solusvm 的 Serial Console 只有远程 SSH 登录才要鉴权吧。

Tony1ee

Mar 8, 2016 via Android

@loveminds 是嘛他们都用来干嘛呢

loveminds

Oct 9, 2016

@msg7086 后台控制面板可以类比为实体机器的 IPMI ，而正常情况下，透过 IPMI 操控服务器是需要通过鉴权的

msg7086

Oct 9, 2016 via Android

@loveminds 能登后台面板本身就是鉴权通过。