小米公司员工私自将公司内网端口映射到公网

[wudidangteng]

2020 年 11 月 17 日上午 11:56，小米已发出全员级别的通告。人工智能部 AI 实验室一名实习生私自将公司内网端口映射到公网，导致不法分子入侵公司服务器，违反《小米集团员工行为准则》和《员工信息安全规范》有关规定，解除其实习协议，并将相关涉案人员移送司法处理。


有些许疑问，实习生有这么大权限么？会不会是哪个大佬把锅给实习生

[jzmws]

估计是用 类似 蒲公英这样的东西

[tedmosby]

感觉像内鬼。

[troycode]

@yueryuer 不跟这个是一个道理吗

[feast]

@pydiff 当小白们都在滥用 FRP 公共服务的时候 其节点很显然是黑产们重点关照的

[dbpe]

@mxalbert1996 UDp 打洞受制于 NAT 网络类型的吧,基于证书的可以...研究下

[w99wjacky]

我见过的一个国内的“免费”frp 工具
配置文件里就有的远程桌面的端口设置
这个“免费”软件就是用来杀**猪的

比如这个：www 。chuantou 。org/frp-page
tcp 端口 3389 默认就有这个配置
谁用谁悲剧

[mxT52CRuqR6o5]

我就算认为自己有足够能力保证安全也不会这么做，给自己增加风险

[DoctorCat]

公司不让干的事情就不要干，例如未经授权做外网访问办公内网的事情，这不是技术范畴了。
用技术取巧的方式给公司带来的损失，那始作俑者不负责谁来负责？雷布斯负责么？

[biguokang]

@feast 我觉得和其他打洞工具来说，frp 部署在三大平台来说部署运行极其简单，可能是得益于 go 语言开发吧

[biguokang]

@yueryuer 你不是 24 小时开着就没问题吧，不用的时候就关掉

[fdoctor00]

我好奇的是怎么被发现然后被入侵的

[mxalbert1996]

@dbpe 打洞不成功会自动 fallback 到中转，稳定性是有保证的。

[geebos]

@vfxx 这种一般都属于保密信息，不能发布到外网的

[yuruizhe]

公司都有 VPN，为啥要映射出去呢？ ssh 直连服务器？

[MineDog]

平时会用 ssh 隧道连接内网的 mysql，算不上述情况啊，也会有危险？

[40EaE5uJO3Xt1VVa]

一直都用 stcp 模式

[1if5ty3]

看大家这么一说，虽然不用 frp，但也有点虚。
赶紧加强 nas 密码，关闭无关映射。

[feast]

@biguokang FRP 这玩意儿按道理讲根本不配称什么内网“穿透”，反弹 shell 隧道这种名字估计才能引起这些人的警惕

[la9998372]

真人真事，是我实验室同学室友的男朋友。。。事情挺严重的，好像已经抓起来了，要坐牢。

[ahill]

@billwang ngrok 了解一下