ToDesk 存在安全漏洞，可无密码远程控制设备，请谨慎使用

[2le]

这个情况是偶然间发现的，具体情况如下：

测试环境

• 被控端 X 是 MacOS，安装了 ToDesk 官网最新版。
• 控制端 A 是 MacOS，安装了 ToDesk 官网最新版。（使用密码连接过被控端 X，后正常断开）
• 控制端 B 是 MacOS，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 控制端 B-VM 是 Win10 虚拟机，运行在 B 上，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 被控端 X 、控制端 A 、控制端 B 都不在一个网络。

测试结果

• 控制端 B 无需密码即可连接，多次验证都可以。
• 控制端 B-VM 需要密码才能连接。

测试结果录屏

题外话

从现象来看连接密码似乎并没有作为端到端加密密钥的一部分（这种设计真的没问题么？），当认证节点出现问题时直接允许控制端与被控端建立连接。当然这些只是我的猜测，并没有深入分析，虽然从事的是信息安全方向，但术业有专攻嘛，就留给感兴趣的小伙伴了～

[DavidLeeMr]

@zhengfan2016 不，是全部都是给 todesk 的，333 天前的唯一一条还是推荐 todesk 的

[irainsoft]

昨天这贴还没回复时就感觉是有问题的，主楼有这么长过程描述的 bug 基本都是有问题。没想到这公关文直接把这贴带起飞了😂 34 楼的那个官文文风都溢出来了😂简直是教科书级的公关反面案例

[miaomiao888]

@FS1P7dJz 安全漏洞首先提交厂商，这没毛病吧？如果在厂商解决问题前公开讨论有没可能导致被人恶意利用漏洞？和公关没半毛钱关系。
有些人就是不会动脑还喜欢跟风要么叫嚣卸载要么攻击人品 。。。

[no1xsyzy]

@microka 是我没看清……
陷入了一种 赶忙表示『你们太弱了我一眼就看出来了我真聪明』的状态

[FS1P7dJz]

@miaomiao888 没毛病
但是也并没听说这是一个必须的操作
公开讨论也是一个可以的操作

何况 V 站本来就有一个全球工单节点,为什么会有这样的节点老用户应该清楚的很

[aircargo]

再见 todesk，已经卸载了……

[Telegram]

@Tink #127
真的是谣言一张嘴，辟谣跑断腿。
标题上来就是一句存在安全漏洞，最后发现根本是乌龙，最后扯个小瑕疵给自己下台。
作为 todesk 厂商是真的可怜，回复后台登录日志也被骂，这他妈厂商连你登录日志都不能看？又不是看你系统敏感信息了。

站长也是搞笑，就这么一个不存在的漏洞给人家厂商造成多大影响。被各种平台转发，小厂商可能要直接嗝屁了。是怎么说的出口：“软件如果产生了不符合用户预期的行为，用户就会自然产生疑问。这种疑问可能是 bug 也可能是误会。

但是你们不去解决软件的不符合预期的行为，而是这样来对我持续施压，我对你们公司也觉得非常失望。”

要是我就直接发律师函了，诽谤

[Masterlover]

不好意思 来挖个坟 今天我的电脑也被别人连上了 找官方要了日志 持续时间 15 秒 IP 是保加利亚的

[thtznet]

ToDesk 的精简版为什么要管理员权限启动？

[Tink]

@PUBG98k #21 你们 mac 上 4.5 这个版本为什么后台服务持续 100%？？搞事情？