老哥们，我被暴力破解了！我该怎么办？

2021-12-11 07:05:23 +08:00
 chengfeng1992

不是标题党。

发现问题

今天正在用着电脑，突然就锁屏了。

我立刻输入密码登录，屏幕分辨率有个调整的过程 （用过远程登录的老哥应该见过这种现象），猜测应该是被远程登录了。

设置情况

Windows LTSC 2019 (ver 1809)

刚重装系统不久，前几天装 LTSC 2021 蓝屏，就又装回了 2019 。

应该没用过什么垃圾软件，安装了火绒。

坐标北京。

机器一般 24 小时开机。

我没有把系统的用户名、密码告知他人，当然用户名很容易获取，密码设置的比较简单。

开启了远程桌面。路由器拨号，并设置了端口转发到机器的 3389 端口，以备不时之需。

事件管理器

事件管理器截图 https://imgur.com/a/O7bKE88

发现从 2021 年 12 月 9 日至今，一直在被暴力破解。 （之前的不清楚，前几天手贱清了系统日志）

暴力破解的 ip 来自世界各地，怀疑他们也是肉鸡。

部分 ip 如下：

庆幸与后怕

首先庆幸自己重装系统后没有开启 IIS 的 WebDAV ，重装前之前一直开着的，把机器当 NAS 用。

也庆幸自己半夜醒了，起来玩会电脑，早发现早治疗。

其实当个肉鸡，被挖矿、弹个广告啥的没什么，费点电的事，也很容易发现。当然事情肯定没那么简单。

但资料被窃、资料被加密就特别可怕。

可以说机器上有我所有的资料，包括但不限于十几年来的照片、各个网站的密码，甚至银行卡信息。

已经被成功远程登录，越想越后怕吧。

求助

老哥们，我该怎么办？！

毕竟工作什么的，偶尔还是需要远程下家里的电脑的。

躺床上用手机远程电脑 /WebDAV 看个视频也是挺方便的。

我先关机拔电源补会觉（毕竟还开了 WOL），希望老哥们能给出各种意见和建议。先提前感谢各位老哥！

当然有的老哥也需要看看自己的电脑和 NAS 有没有被黑。

17124 次点击
所在节点    信息安全
97 条回复
byte10
2021-12-11 19:12:05 +08:00
用 vpn ，说了几百年了，没人深刻记住这个的问题。这个是唯一解决的办法，没有之一，是没有之一。搞一个 vpn ，整个局域网都是你的，你不开心吗，搞啥端口呀，还要开放啥端口啊，改啥端口啊，乱七八糟没用。vpn 这个是常识，没有之一。一个 docker 就搭建完了，还要啥自行车啊，一分钟都不用的事情。
vmos
2021-12-11 20:09:48 +08:00
外网端口设置为高端口号，别用默认的，密码用强密码
jfdnet
2021-12-11 20:24:26 +08:00
不要用 win 做服务器。
mineralsalt
2021-12-11 21:00:14 +08:00
@chengfeng1992 自建 bitwarden 密码管理器
darknoll
2021-12-11 21:50:44 +08:00
@clickhouse 有教程吗？
PatrickLe
2021-12-11 23:45:28 +08:00
@xavierskip RDP 都多成熟的东西了，来一次这个，微软怕是得被骂死，想想这得波及多少设备，所以我也就不是特别担心了😂
yaott2020
2021-12-12 01:12:41 +08:00
可以无需组网，直接 frp stcp 穿透。懒一点的话就改掉 3389 ，密码设复杂一点。别什么服务都暴露公网，扫端口的一大堆
yaott2020
2021-12-12 01:15:37 +08:00
还有就是如果怕文件风险，多备份，备多份，不要鸡蛋放在同个篮子里，云端存一份，闲置硬盘存一份，以备不时之需
jinliming2
2021-12-12 01:31:30 +08:00
刚刚上事件查看器筛选了下 Audit Failure ，发现一大片，甚至就在我筛选的同时，还有新的日志出现……
粗略浏览了一下，尝试的用户名就这几个：ADMINISTRATOR 、ADMINISTRADOR 、USER 、USER1 、ADMIN 、ADMIN1

还好我没用这些用户名，密码也不算弱……

感谢楼主给提了个醒，加护甲去了……
jinliming2
2021-12-12 01:33:49 +08:00
另：我用的不是默认的 3389 ，而是高位端口。
所以说，改端口啥的感觉基本没用，扫一遍端口，发几个探测包就知道对应服务了……
Mac
2021-12-12 02:21:25 +08:00
我现在已经习惯向日葵了，免费且够用。
Anonywp
2021-12-12 03:07:55 +08:00
还是 VPN 吧，只要放公网，啥手段都不好使，各种脚本现在已经很成熟了
t6attack
2021-12-12 06:38:11 +08:00
关于 win 服务器：
从 win 2003 到 2016 ，win server 用十几年了，从未被黑过。而且我觉得，只要对方掌握基本的网络安全常识，想黑掉对方就是很难的事。
ms06-040 、ms08-067 、ms17-010 这几个著名漏洞 相关蠕虫大爆发时，我就很奇怪，作为暴露在公网上的机器，配置防火墙把不需要的端口挡住，这不是最基本的操作吗？为什么系统自带了防火墙却不用？

关于改端口：
改端口说有用也有用，说没用也没用。如果被“人类”盯上的话是没用的，但在现实中，改完端口基本上就不会被攻击了。
网络上对 22 、3389 两个端口的攻击很多，这种攻击主要来自自动传播的“弱口令蠕虫”。编写一个弱口令蠕虫非常简单，大部分 v 友稍微研究一下就能写出来。
如果你来编写，你会针对每个 IP 浪费大量时间扫描 6 万多个端口吗？而且改过端口的，大概率也改了用户名，设置了复杂密码。浪费大量时间做无效的扫描，这个蠕虫根本就传播不开。
所以改完端口，也就过滤了全部“机器”攻击。

关于远程桌面：
win 远程桌面非常方便好用，与 VNC/向日葵之类的远控工具不同，它是系统级的用户登录，相当于通过网络接入一套屏幕鼠标键盘。做好安全配置的情况下，建议继续使用远程桌面。
chengfeng1992
2021-12-12 06:54:09 +08:00
@HFX3389 #55 #56 frp 我用的 0.35.1 ，没有出现过类似问题，也就一直没升级
huiyanpohundh123
2021-12-12 08:06:17 +08:00
用密钥登录安全点
maskj4
2021-12-12 08:53:12 +08:00
我用 v2ray 起服务端链接内网，这个绝对安全
alexkkaa
2021-12-12 09:29:06 +08:00
网线拔了不就好了
supercaizehua
2021-12-12 09:38:23 +08:00
1.弱密码, 你也知道这个原因
2.我认为尽量避免使用密码,能使用秘钥就改成秘钥,如果非要用到密码,就用搞复杂一点,且定期更换
v2000000001ex
2021-12-12 10:02:24 +08:00
给 3389 套一层 tls ，tls 添加服务与客户端验证
512357301
2021-12-12 11:24:44 +08:00
题外话，uac 还是建议打开的，win 的 uac 虽然每次不用输入密码，但是把它当做拦截器还是挺不错的，有时候真心不知道自己电脑里的软件会不会作妖儿的

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/821458

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX