小米公司员工私自将公司内网端口映射到公网

[wudidangteng]

2020 年 11 月 17 日上午 11:56，小米已发出全员级别的通告。人工智能部 AI 实验室一名实习生私自将公司内网端口映射到公网，导致不法分子入侵公司服务器，违反《小米集团员工行为准则》和《员工信息安全规范》有关规定，解除其实习协议，并将相关涉案人员移送司法处理。


有些许疑问，实习生有这么大权限么？会不会是哪个大佬把锅给实习生

[zjsxwc]

这是发现服务器被黑了才曝光的，服务器没被黑的话估计就没这实习生什么事情。

[pydiff]

@zjsxwc 可能内网服务器用了弱密码的原因,比如我这边内网服务器都是 123456 之类的,很容易破

[zxyangyu]

emmm 话说原来搞模型部署测试的时候,也干过这个事情,只是没人惦记

[nmap]

frp+强密码有问题不？

[Williamwang]

@qoras #106 我也觉得有可能

[knightdf]

frp 只转发到 ssh 端口(只能私钥登录)的应该没事吧？

[yy77]

这位实习生至少要有公司防火墙的管理员权限才行。

[pythonee]

不要在公司电脑上处理个人事务
不要私自变更公司电脑防火墙、攻击网络

[mm2x]

我都是家里 NAS 架设 Frps 只映射一个连接端口 然后 Frpc 不做端口映射 使用的时候直接内网地址管理 在外面需要的时候 VPN 回家。。感觉还是挺安全的。。估计这哥们用了免费的 frps 之类的东西。。怨不得别人。。

[daquandiao2]

@mrzx #30 可以查看微信记录吗

[no1xsyzy]

我只开单位穿回家里的，不开家里穿到单位的
明面上说是为了网络安全
其实是摸鱼可以，远程加班不行

[no1xsyzy]

@nmap FRP 的 frpc -> frps 链接有单独的 TLS 选项，只加个密码恐怕不会加密流量。

[yueryuer]

想请教下，做微信小程序本地开发这种，使用内网穿透工具安全吗，如果不用内网穿透工具应该如何方便的调试

[no1xsyzy]

@lewis89 #33 #30 的话可以 SNI 嗅探，HTTPS 也能拿到域名。
（强行 OSI 模型应该算 5 层 session 层）
至于 FRP 不加 TLS 没意义，加了 TLS 的话不清楚 FRP 的 ALPN 是啥，单独的话握个手求个 ALPN 就清楚这是啥服务了

[VZXXBACQ]

请问一波，我购买了内网穿透服务（其实就是一个端口映射和 FRP 差不多，服务商可信），转发了 ssh 端口（只能公钥登录），RDP 强密码（只能用 MS 账号登陆）和 6666 端口（无服务，平时用来调试 web 的）。会被橄榄嘛？

[VZXXBACQ]

当然这几个都是我家的，公司不敢

[Rheinmetal]

@VZXXBACQ 个人被盯上可能性小一点但是开放公网就会被扫漏洞 没有万事大吉 有一个就是倒霉

[ScepterZ]

实习生有 vpn 的啊，这就是个觉得自己很会玩作死玩脱的呗，大家讨论的太发散了……

[boris93]

@bclerdx #85 那不也是 VPN ？除了协议不一样之外
而且我之前待过的一家单位就是用深信服 SSL VPN，感觉体验不太好

[feast]

FRP 这种跟公网直接暴露基本没区别了，不是很清楚很多人滥用这玩意儿的原因，可能知名度高吧