ToDesk 存在安全漏洞，可无密码远程控制设备，请谨慎使用

[2le]

这个情况是偶然间发现的，具体情况如下：

测试环境

• 被控端 X 是 MacOS，安装了 ToDesk 官网最新版。
• 控制端 A 是 MacOS，安装了 ToDesk 官网最新版。（使用密码连接过被控端 X，后正常断开）
• 控制端 B 是 MacOS，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 控制端 B-VM 是 Win10 虚拟机，运行在 B 上，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 被控端 X 、控制端 A 、控制端 B 都不在一个网络。

测试结果

• 控制端 B 无需密码即可连接，多次验证都可以。
• 控制端 B-VM 需要密码才能连接。

测试结果录屏

题外话

从现象来看连接密码似乎并没有作为端到端加密密钥的一部分（这种设计真的没问题么？），当认证节点出现问题时直接允许控制端与被控端建立连接。当然这些只是我的猜测，并没有深入分析，虽然从事的是信息安全方向，但术业有专攻嘛，就留给感兴趣的小伙伴了～

[luckbbs]

后面连续这么多质疑楼主的贴子

[liprais]

@luckbbs 都是那公司的呗，不是水军就是员工，谁拿钱发帖谁心里明白

[luckbbs]

这是另一种公关么

[zhengfan2016]

@angkimi 老哥，为什么你的历史回复有 8 成是回复给 todesk 的呢

[oisadfo]

最新版 ，也是有个版本号的。一句 “最新版”，一竿子打死人家后续所有版本。

[muzuiget]

笑死，公关灾难。

[2le]

@QinZhaoHH 我也是从老版本升级上来的

[QinZhaoHH]

@2le 那你在老版本上有连接过 X 吗。还有我看你说你在三台机器上都登录了同一个 Apple ID，会不会 Apple ID 会有云同步功能，把你其他设备上的数据同步到 B 上了。

[microka]

@2le 所以你 B-Mac 端的 ToDesk 的从老版本升级上来的？此前的老版本有无连接过 X ？

[40EaE5uJO3Xt1VVa]

把这两个帖子都保存成了 pdf 文档，可以给站外人看看，什么叫 欲盖弥彰？

https://www.cowtransfer.com/s/c72391a31e2b4e

https://www.cowtransfer.com/s/c3f483011ea648

[ragnaroks]

歪个楼，无公网 IP 的情况下，免费的 anydesk，收费的 teamview，应该满足 95%用户需求了，再没有达到 anydesk 的情况下就贸然收费，非常不合适

[dswyzx]

吃瓜看戏. 主题不能禁止回复,可以下沉,move to 水深火热.
我的账号现在这个时间访问水深火热 https://v2ex.com/go/flamewar 是 302 了
站长拱火水平不错.涉事方公关水平堪忧
看戏者基本上一边倒的偏向用户.这很正常.但有人要是给我扣帽子的话请先结个帐

[zhw2590582]

哈哈，既然没有其他人能复现，感觉不像是 bug，哪怕官方给一个书面一点的回应，都比 @PUBG98k 这个强

[yutou527]

神了，本来就不是什么大问题，官方承认下，修复了就得了，硬是闹成这样。

[FS1P7dJz]

笑死
终于开始公关了?

1:反馈方式不对,应该直接联系客服 /技术,不应该发帖

2:过于武断,不是 bug,是用户使用不正确


好家伙好家伙
开始浑水摸鱼了

[initdrv]

鄙人来个抛砖引玉：

安装电信宽带，然后申请公网 IP，光猫上开启端口转发

自建 DDNS，搭配 FRP，Enable Remote Desktop (Windows) & Turn on Screen Sharing (macOS)

可以满足 自己的远程需求

至于细节，HE.NET 的 DDNS，脚本自动更新 IP

NSSM 将 FRP 注册成自启服务（建议 delayed-auto 类型）（ Windows ）

Launchctl 将 FRP 设置成自启（建议 plist 放在 /Library/LaunchDaemons 目录下）（ macOS ）

[ThreeBody]

@Meiyun 半价肯定不行
4 月初开通的，4 设备，买的时候 791，你再开个价，合适就卖给你

[falcon05]

@initdrv 有公网 ip 了用 frp 做什么

[initdrv]

@falcon05 #158

自个用 FRP 来远程机器

[429463267]

花生壳内网穿透+微软自带远程桌面