標題: S記被撞密碼情報交流 [打印本頁]

---

作者: blaze    時間: 2021-7-30 09:12     標題: S記被撞密碼情報交流

28/7開始俾人撞admin... 幾分鐘一次, 每次唔同IP但係間中重複... 之後我firewall淨係俾香港入, 頻率減少左.. auto-block而家一見到重複IP就block...

DSM6.2.4, 已經轉咗port同埋disable admin...

其他師兄係咪都係類似情況?

注意: 呢度係公海, 分享資訊小心唔好俾個人資料包括你啱HKEPC帳號profile

---

作者: antonyhk    時間: 2021-7-30 09:49

用預設5000/5001 port就多白撞，情況同你差唔多，但轉port後就靜哂啦

---

作者: raypoon    時間: 2021-7-30 09:59

經常撞DSM 和 FTP  不單用 admin 撞  更會用不同名user www anonymous  data  etc.開頭設左3mins 錯3次就block, 真醒  他較到每4min才撞一次.  
我開頭隨便設NAS 用公司名 例如 ABCDNAS  他真系用 ABCD 來撞 不過我也沒有用ABCD 來開過account.
後來改個無關重要名

via HKEPC Reader for Android

---

作者: Lando    時間: 2021-7-30 10:13

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: jackwong717    時間: 2021-7-30 10:19




睇圖

圖片附件: x.JPG (2021-7-30 10:19, 95.37 KB) / 下載次數 47
https://www.hkepc.com/forum/attachment.php?aid=2275355&k=e3f65825ea0b06e3ec581b91fea00fae&t=1794644157&sid=M2Q3FQLoeM

---

作者: blaze    時間: 2021-7-30 10:20

我間唔屎都有, 但係今次特別密集, 集中攻擊admin

呢個係28/7


圖片附件: Screenshot 2021-07-30 at 10.06.40 copy.jpg (2021-7-30 10:21, 131.23 KB) / 下載次數 42
https://www.hkepc.com/forum/attachment.php?aid=2275357&k=0c786e6500d12551c696f7e3e34f41c0&t=1794644157&sid=M2Q3FQLoeM

---

作者: jackwong717    時間: 2021-7-30 10:32




    我好正常.....我都好想知,
點解我無事

圖片附件: 擷取.JPG (2021-7-30 10:32, 147.33 KB) / 下載次數 60
https://www.hkepc.com/forum/attachment.php?aid=2275358&k=ea3abad5581f003e9494f7dcd2c137ad&t=1794644157&sid=M2Q3FQLoeM

---

作者: jackwong717    時間: 2021-7-30 10:49




    師兄...上面D IP全部都唔係HK,,
你個防火牆是否SET得唔啱??

---

作者: ChingTszHong    時間: 2021-7-30 11:02

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: jackwong717    時間: 2021-7-30 11:09

回復 9 #ChingTszHong

可能發生在fix ip身上

Android 紅米note8pro

---

作者: blaze    時間: 2021-7-30 11:25

回覆 8# jackwong717


    呢個係之前，而家淨係見到香港IP

---

作者: blaze    時間: 2021-7-30 11:25

回覆 10# jackwong717


    家用寬頻啊, 可能要考慮renew IP...

---

作者: blaze    時間: 2021-7-30 11:27

回覆 9# ChingTszHong


    我有兩個domain name可以入到黎, 其中一個係CloudFlare... 但係我而家嘅firewall setting基本上係入唔到... 剩返synology.me同埋IP.... 相關嘅資訊我自己又冇擺上網喎

---

作者: blaze    時間: 2021-7-30 11:28

其實好多年前至今都間唔屎會有人來試password.... 不過今次密集啲囉

---

作者: jackwong717    時間: 2021-7-30 11:35

本帖最後由 jackwong717 於 2021-7-30 11:39 編輯

回復 13 #blaze

我2部s記nas,都有放出街，
同1個真ip,唔同port,
1部用5001，1部用5xxx,
1部6.2.3,一部7.0，
封其他國家ip,放香港ip可連。
2部都停用admin。
不是fix ip
2部都有用唔同myds.me
2部都有開qc

Android 紅米note8pro

---

作者: blaze    時間: 2021-7-30 11:39

本帖最後由 blaze 於 2021-7-30 11:40 編輯



    我基本上同你一樣, 但係兩個都係舊DSM轉晒port都俾人撞DSM或者SSH... 我覺得俾人撞密碼無可避免... 但我哋要留意佢哋嘅pattern睇吓自己點樣對抗

---

作者: ringolee523    時間: 2021-7-30 11:42

尋晚改左5000 同5001, 到而家都無再比人撞

---

作者: ChingTszHong    時間: 2021-7-30 12:04

提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: raypoon    時間: 2021-7-30 12:32

本帖最後由 raypoon 於 2021-7-30 12:34 編輯


撞DSM 可以應付 但撞ftp 就無用

圖片附件: [FTP] 2021-07-30_12-27-03.jpg (2021-7-30 12:32, 72.03 KB) / 下載次數 24
https://www.hkepc.com/forum/attachment.php?aid=2275371&k=a0020476d0151138e3f6ec67aa0afde1&t=1794644157&sid=M2Q3FQLoeM



圖片附件: 2021-07-30_12-27-03.jpg (2021-7-30 12:32, 72.03 KB) / 下載次數 26
https://www.hkepc.com/forum/attachment.php?aid=2275372&k=6e25d851de47bb921f222b27975af714&t=1794644157&sid=M2Q3FQLoeM

---

作者: eilot    時間: 2021-7-30 14:33

本帖最後由 eilot 於 2021-7-30 14:35 編輯


都是轉了DSM PORT，全封海外只限香港，平時都有用開QC，一直都沒被人撞
但升到7.0後，QC經常說連不到線，在PC或手機都連不上，但在手機用DS FILE、DS AUDIO又正常
登入S記帳號後又說QC是正常
回家後檢查LOG，又沒說異常，又不是自動封到帳戶一段時間

---

作者: jackwong717    時間: 2021-7-30 14:49

本帖最後由 jackwong717 於 2021-7-30 14:57 編輯



    正常唔好填QC入去....應該填DDNS 如jack.myds.me:50XX,
DS FILE(如有改,無改唔使填PORT)
剛試個QC.......

QC




DDNS



圖片附件: 擷取.JPG (2021-7-30 14:49, 41.05 KB) / 下載次數 14
https://www.hkepc.com/forum/attachment.php?aid=2275383&k=e8b84e4c63073147a8b475fa24081eeb&t=1794644157&sid=M2Q3FQLoeM



圖片附件: 2.JPG (2021-7-30 14:55, 54.85 KB) / 下載次數 38
https://www.hkepc.com/forum/attachment.php?aid=2275384&k=8b04484d977411fa7f86abc43f22a45b&t=1794644157&sid=M2Q3FQLoeM

---

作者: blaze    時間: 2021-7-30 15:03




    FTP用唔同port

---

作者: blaze    時間: 2021-7-30 15:04



我自己一路都冇用開QC
尋晚限制咗香港地區IP之後，係靜咗好多

---

作者: eilot    時間: 2021-7-30 15:05




  總之升級DSM7.0後QC真是愈來愈怪(廢)...

在手機用DS Finder，入面選QC 手機板又正常，再轉用桌面版都沒問題
真是在PC或手機直接用QC就說連線問題

---

作者: blaze    時間: 2021-7-30 15:08




    我自己成日有個感覺QC唔係好安全...所以都係用DDNS同埋router自己控制

---

作者: blaze    時間: 2021-7-30 15:13



可能我synology.me個FQDN同埋個port都俾人掃到出嚟啦... 試來試去都係
standard帳戶名稱 , 都未有個人資料洩漏嘅implication嘅

---

作者: jackwong717    時間: 2021-7-30 15:14




    唔關DSM7.0事(我測試係用DSM6.2.3)
應該好多人關晒PORT(避風頭)...多人走QC所以慢(我估)

---

作者: jackwong717    時間: 2021-7-30 15:23




    對老手...用DDNS...一般人見用到就算,多數走左QC,
咩PORT都唔開反而安全

---

作者: blaze    時間: 2021-7-30 15:28

S記啱啱回覆我張ticket, 都係叫我淨係開香港+LAN同埋deny-all

---

作者: blaze    時間: 2021-8-2 16:50




    so far block 咗幾個香港IP, 之後就冇俾人撞密碼

---

作者: cat6    時間: 2021-8-3 02:23

會唔會人地知道你部nas既qc。。
點改port 。一連qc都會show到
開兩步驗證啦.....

---

作者: love19901109    時間: 2021-8-3 04:37

其實放得出街就預左比人撞  你改個難撞D 既PW + SET 3錯次即BLOCK + 香港區域 唔好放SSH 呢D出街 呢樣擋左好多 只要佢唔出Vulnerability eg. Privilege Escalation    BTW你地算小...

圖片附件: Untitled.png (2021-8-3 04:35, 30.77 KB) / 下載次數 49
https://www.hkepc.com/forum/attachment.php?aid=2275965&k=1135b8599f1c9142b7a3d6214b762a13&t=1794644157&sid=M2Q3FQLoeM

---

作者: blaze    時間: 2021-8-3 10:30

放出街係一定俾人撞㗎啦，呢個當然明白啦...

想借呢一個平台做吓threat intelligence咁樣姐，睇吓點樣可以擋多啲，同埋睇吓佢哋攻擊嘅變化... 我已經轉咗port同埋我今次受到嘅攻擊係特別密集，加上有師兄指出大部份source都係S記NAS，即係已經有人用NAS做zombie network...

既然知道我哋NAS位置，今日擋到撞密碼，唔知道幾時會有zero day，防範未燃咁樣啫

---

作者: jackwong717    時間: 2021-8-3 10:50

回復 33 #blaze

可以轉ip就轉下,睇下有冇效，
我無改port,都無比人撞，
所以今次唔似改唔改port問題。


Android 紅米note8pro

---

作者: pbodq    時間: 2021-8-3 11:06




點樣知個攻擊來源是Synology NAS?

---

作者: jackwong717    時間: 2021-8-3 11:09

回復 35 #pbodq

撞入的ip,
你用佢個ip去登入時，就係s記個dsm登入介面。

Android 紅米note8pro

---

作者: blaze    時間: 2021-8-3 19:56

啱啱比兩個香港IP撞，都係行緊s記個dsm...

即係我都仲係under attack

---

作者: jackwong717    時間: 2021-8-3 21:36

本帖最後由 jackwong717 於 2021-8-3 21:40 編輯



    轉IP改DDNS試下

---

作者: t1174-3    時間: 2021-8-3 21:54

如何得知對手OS?

---

作者: jackwong717    時間: 2021-8-3 22:09

本帖最後由 jackwong717 於 2021-8-3 22:12 編輯


FB上比人登入的圖.....


http://59.152.199.150:5000
http://60.249.37.208:5000
http://82.117.143.90:5000
https://88.209.250.130:5001

圖片附件: 擷取.JPG (2021-8-3 22:12, 93.85 KB) / 下載次數 54
https://www.hkepc.com/forum/attachment.php?aid=2276069&k=459779589d6fc26849ba565ab3adcd5b&t=1794644157&sid=M2Q3FQLoeM

---

作者: slayerwan    時間: 2021-8-3 22:49



請問怎樣做才能限制只有香港ip才能登入？

---

作者: 炎冬    時間: 2021-8-4 00:33




    在synology 開firewall, 之後可以set你想邊個國家的IP可以登陸

---

作者: jackwong717    時間: 2021-8-4 01:06




    睇圖

圖片附件: 擷取.JPG (2021-8-4 01:06, 131.78 KB) / 下載次數 59
https://www.hkepc.com/forum/attachment.php?aid=2276089&k=09d0bcb96cb773bedc3bffc5134322e1&t=1794644157&sid=M2Q3FQLoeM

---

作者: ericyyhk    時間: 2021-8-4 08:15

既然對方係 Synology 殭屍機, 咁有無乜方法知自己果部其實係唔係殭屍'ed?

---

作者: jackwong717    時間: 2021-8-4 08:39

本帖最後由 jackwong717 於 2021-8-4 08:41 編輯


有d router可以睇到部nas去過咩網，
咁應該都知道有冇做左殭屍。

圖片附件: IMG_20210804_13491.jpg (2021-8-4 08:41, 48.02 KB) / 下載次數 44
https://www.hkepc.com/forum/attachment.php?aid=2276108&k=e56c913c371204e762270688860312c1&t=1794644157&sid=M2Q3FQLoeM

---

作者: blaze    時間: 2021-8-4 10:16




    DDNS轉唔到啦，咁多用戶

---

作者: JKC710    時間: 2021-8-4 11:47



我試過ADD最底果行DENY ALL, 會有POP-UP彈出黎話而家既SETTING會BLOCK埋我當時用緊既CLIENT (MAC MINI).

---

作者: jackwong717    時間: 2021-8-4 11:58



佢會由上至下去做野，
1.內聯可通過
2.香港ip可通過
3.所有ip不可通過

---

作者: freefdhk    時間: 2021-8-4 13:13




其實你可以在 所有介面  全部不啟用.
然後按去 區域網絡1/2  (因應自己用邊個 Port) 去設定

先Allow 內網. (建議不要包括 router ip. 以免 router 被hack時都係 access到佢)
＞　允許香港　＞　拒絕所有地區　＞最下方勾選拒絕不符

所有介面　跟　區域網絡1/2　其實有些衝突。　只在　區域網絡1/2　去做設定會較安全。　
萬一設定錯了都可以插另一個ＰＯＲＴ去改。

---

作者: JKC710    時間: 2021-8-4 16:42



知道, 我今晚再試, 攪唔掂再請教你地.

---

作者: JKC710    時間: 2021-8-4 16:43



多謝教路, 今晚返去攪攪佢.

---

作者: slayerwan    時間: 2021-8-4 20:10

回覆 43# jackwong717


    謝謝告知

---

作者: hyperbola    時間: 2021-8-5 10:11

我跟s記既建議。開一個新既admin a／c 唔要用admin 名字。  完成後disable 左default 既admin a／c， 咁就唔會再見到有人撞admin 既log了。

---

作者: jackwong717    時間: 2021-8-5 10:31

本帖最後由 jackwong717 於 2021-8-5 10:38 編輯



    應該唔關事架?
入地喜歡用咩名去登入就用咩名架!
我無開AA名...佢一樣會話有人用AA去登入..巳被鎖IP

我用你個名去撞都得架

圖片附件: 3.JPG (2021-8-5 10:31, 97.2 KB) / 下載次數 41
https://www.hkepc.com/forum/attachment.php?aid=2276237&k=40fdb13409d9af0c8492483ae0bc14f6&t=1794644157&sid=M2Q3FQLoeM



圖片附件: 56.JPG (2021-8-5 10:37, 51.03 KB) / 下載次數 62
https://www.hkepc.com/forum/attachment.php?aid=2276238&k=132e3b03e0b6a14fe63f81a166ce1528&t=1794644157&sid=M2Q3FQLoeM

---

作者: liok    時間: 2021-8-5 11:45

回復 49 #freefdhk

其實唔駛封所有地區，我自己經驗只封了1個就好多年沒有再比人撞過

---

作者: jackwong717    時間: 2021-8-5 11:54

回復 55 #liok

封1個咩先得架？


Android 紅米note8pro

---

作者: hyperbola    時間: 2021-8-5 11:58




   sorry，我講少了一個步驟，就係開左2-step verification.

---

作者: blaze    時間: 2021-8-5 12:10

其實我自己最驚唔係個account俾人compromise，停用admin+2FA+強密碼+auto-block都擋得吓。我怕嘅係依家attacker有個zombie network同埋知唔我地地址，萬一有zero-day就GG！

我覺得S記要做threat intelligence去防禦

---

作者: 籃球爺爺    時間: 2021-8-5 12:15

回復 1 #blaze

我呢兩日係咁收到warning話有人撞入嚟，i久前係無試過咁頻密的，原來近排都咁多人有呢個情況

via HKEPC Reader for Android

---

作者: basarawong    時間: 2021-8-5 13:30

本帖最後由 basarawong 於 2021-8-5 13:32 編輯

感謝睇到這個post, 我先睇番原來我部NAS (DSM7.0)由7月27日開始不停被人撞Login
(port:5000, admin(好彩我一早Off左admin account)
撞到琴日為止超過5000次
琴日轉左port後暫未發現同樣情況.
感恩版主.

---

作者: blaze    時間: 2021-8-5 17:47

大家分享吓經驗啫！

---

作者: slayerwan    時間: 2021-8-6 22:42

點鎖ip也不行，最後經router直接封閉外聯，外網用vpn登入搞掂

---

作者: plucky    時間: 2021-8-7 10:09

本帖最後由 plucky 於 2021-8-8 13:10 編輯


群暉科技 Synology®關心您的資料安全，建議所有使用者強化帳號與密碼安全設定

群暉科技Synology近日接獲數起使用者詢問，觀察到有異常數量IP企圖嘗試登入NAS產品，經產品安全團隊調查，確認為駭客使用暴力密碼破解手法，而非利用特定系統安全性弱點。Synology也呼籲使用者毋須恐慌，同時建議使用者持續加強帳號權限與密碼設定，以阻斷駭客入侵的可能。

圖片附件: Uploaded_via_HKEPC_IR_Pro_iOS(D65D6).jpg (2021-8-7 19:28, 118.97 KB) / 下載次數 67
https://www.hkepc.com/forum/attachment.php?aid=2276615&k=39d2f43c78ff61c297540ddfff83b421&t=1794644157&sid=M2Q3FQLoeM

---

作者: s84292    時間: 2021-8-7 10:32

本帖最後由 s84292 於 2021-8-7 10:33 編輯


想擋多d, 直接係你上層的router防火牆做
我自己係寫死左邊幾隻ip 同mac先可以經router fw連到入去nas

有d 要開放出去的,就落ips 政策,防火牆自己做防禦

---

作者: cat6    時間: 2021-8-8 01:36




    唔該，系部nas邊到睇到依d記錄。
我系日誌見唔系依種記錄。
唔該師兄。

---

作者: jackwong717    時間: 2021-8-8 02:10

回復 65 #cat6

你要見到咪登入自己個dsm時，是但打個名幾次咪有囉。

Android 紅米note8pro

---

作者: love19901109    時間: 2021-8-8 05:52

回覆 58# blaze
如果不停比人打可以轉下IP  有D IP真係易D比人打  好老實!zero day 一定GG 因為基本上可以ByPass所有密碼 如果一定要放晒出街 第一樣係擋左晒D唔應該入呢隻NAS 既IP 地區先! 起碼入到黎既IP有限 將唔用既Service/ Port Forward /FTP/SSH/TELNET 熄左佢
我加多左隻IPS + WAF 擋  基本上每日都見到有人Scan 呢D就無計

---

作者: 口o口    時間: 2021-8-8 06:12

其實而家都冇理佢....熄左個ADMIN ACC就由得佢撞就算....
係咪佢都入唔到黎.....
係驚其實APP有BUG姐...

---

作者: slayerwan    時間: 2021-8-8 09:37

回覆 64# s84292


    我隻紅米router功能有限，沒辦法設定來源ip限制，看來要換cisco RV系列或買隻firewall router

---

作者: slayerwan    時間: 2021-8-8 09:38

回覆 68# 口o口


    雖然係，但心中見到log那麼多警告還是有點怕

---

作者: jackwong717    時間: 2021-8-8 10:06

本帖最後由 jackwong717 於 2021-8-8 10:21 編輯

我反而覺得封外國ip，只開香港，
幾個月都無比人撞ip,
中有就係我會set router每星期reboot一次，除左令佢更穩定，
同埋想換埋ip,起碼無咁易比人盯上。
幾個月0被撞！
我中係用緊5000/5001
因家人手機一早set好左，
改左就要同佢哋set過，
見5000/5001都無比人撞就唔改啦！

Android 紅米note8pro