使用 frp 将 Windows 远程桌面暴露到公网上，貌似被爆破了，怎么破

[vzextreme]

起因是发现 frp dashboard 远程桌面端口流量非常大，然后查看远程桌面主机的事件查看器，非常密集的账户登录失败事件，大概每秒 3-5 次。下面是事件信息。 ps：暴露端口不是 3389，密码也是强密码

帐户登录失败。

使用者:
	安全 ID:		NULL SID
	帐户名:		-
	帐户域:		-
	登录 ID:		0x0

登录类型:			3

登录失败的帐户:
	安全 ID:		NULL SID
	帐户名:		xxxxxxx
	帐户域:		DESKTOP

失败信息:
	失败原因:		未知用户名或密码错误。
	状态:			0xC000006D
	子状态:		0xC000006A

进程信息:
	调用方进程 ID:	0x0
	调用方进程名:	-

网络信息:
	工作站名:	-
	源网络地址:	127.0.0.1
	源端口:		0

详细身份验证信息:
	登录进程:		NtLmSsp 
	身份验证数据包:	NTLM
	传递服务:	-
	数据包名(仅限 NTLM):	-
	密钥长度:		0

登录请求失败时在尝试访问的计算机上生成此事件。

“使用者”字段指明本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。

“登录类型”字段指明发生的登录的种类。最常见的类型是 2 (交互式)和 3 (网络)。

“进程信息”字段表明系统上的哪个帐户和进程请求了登录。

“网络信息”字段指明远程登录请求来自哪里。“工作站名”并非总是可用，而且在某些情况下可能会留为空白。

“身份验证信息”字段提供关于此特定登录请求的详细信息。
	-“传递服务”指明哪些直接服务参与了此登录请求。
	-“数据包名”指明在 NTLM 协议之间使用了哪些子协议。

[yeqizhang]

Windows 这么弱的？

[selca]

你不说我没发现，我也看了一样我的 Windows 日志，也是一样的情况，改个端口看看呢

[selca]

@selca 我这边是默认端口，看账户名全都是用的 ADMINISTRATOR

[Navee]

frp 可以设置密钥

[m2276699]

frp stcp

[hanxiV2EX]

这个日志在哪里看的？

[hand515]

用 stcp，若直接暴露到公网，被暴破也正常

[hand515]

@yeqizhang 这哪里能看出 windows 弱？

[SenLief]

换个域名。或者换个 ip

[Ayahuasec]

我是在 frp 服务器用 iptables 做一下屏蔽，设置了只放行我所在城市的 IP 段，之后就清净了好多。

[BeautifulSoap]

@yeqizhang 注意看帖，lz 是被爆了，没有破

[Osk]

欢迎来到公网，vps 上看一下 sshd 的日志吧，特别是开 22 端口的，只能说彼此彼此。

ps：开到公网后请及时更新 windows 的安全补丁哦！

[jousca]

@Osk SSH 那个才比较猛。我用了个脚本，密码 5 次错误封 IP 。结果半个月之后看了下 LIST，估计有几万个 IP

[zhengfan2016]

frp 绑定域名套 cloudflare，如果仅自用的话，cloudflare 防火墙加规则禁止非中国 ip 访问

[ik]

使用频率低的话，端口不暴露，ssh 映射到本地再连接。
使用频率高的话用 vpn 组网

[yeqizhang]

@hand515
@BeautifulSoap 没看清，以为破了……噗……
暴露在公网的东西，被攻击很正常吧……我的 ssh 一天几百到几千字被试密码，不是弱密码让他们玩去……
楼主如果用的路由器的 frp，可以用 frpc 的页面管理，需要用的时候再反代到 Windows 机器上

[yeqizhang]

@Ayahuasec 城市的 IP 段怎么获取到的？

[iBugOne]

我的做法是用 iptables，默认屏蔽 RDP 的端口（ reset 所有新 TCP 连接），然后给 VPS 上自己的用户写了个 ~/.ssh/rc 文件，给自己的登录 IP 放通 10 分钟的 RDP 端口，这样我每次 SSH 登录成功后 10 分钟内我的 IP 可以连接 RDP 端口，剩下就是本地写个脚本 SSH 连一下 VPS，这样每次我只要双击运行一下 SSH 脚本，就可以马上双击旁边的 .rdp 配置文件，并且不用担心被人扫描的情况

[123abcdf11345]

一律 shutdown 解决

[mmdsun]

@hanxiV2EX win 的日志都在事件查看器里面