ToDesk 存在安全漏洞，可无密码远程控制设备，请谨慎使用

[2le]

这个情况是偶然间发现的，具体情况如下：

测试环境

• 被控端 X 是 MacOS，安装了 ToDesk 官网最新版。
• 控制端 A 是 MacOS，安装了 ToDesk 官网最新版。（使用密码连接过被控端 X，后正常断开）
• 控制端 B 是 MacOS，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 控制端 B-VM 是 Win10 虚拟机，运行在 B 上，安装了 ToDesk 官网最新版。（从未连接过被控端 X ）
• 被控端 X 、控制端 A 、控制端 B 都不在一个网络。

测试结果

• 控制端 B 无需密码即可连接，多次验证都可以。
• 控制端 B-VM 需要密码才能连接。

测试结果录屏

题外话

从现象来看连接密码似乎并没有作为端到端加密密钥的一部分（这种设计真的没问题么？），当认证节点出现问题时直接允许控制端与被控端建立连接。当然这些只是我的猜测，并没有深入分析，虽然从事的是信息安全方向，但术业有专攻嘛，就留给感兴趣的小伙伴了～

[houzhishi]

@minami 如果你是用过此软件以及有开发的经验，结合官方的日志，基本可以判断，仅仅是记住密码的问题，我是此软件的老用户，而且我比较喜欢记住密码的功能，平时使用很方便。

[e3rp4y]

强力插入, 可以试试用[`Meepo`]( https://github.com/PeerXu/meepo) + SSH + RDP + VNC. 可以实现相同的功能. 并且还开源免费.

[no1xsyzy]

@angkimi > 建议作者还是删除
笑了，笑出声，V2 只有管理员能删；这边建议您从哪来滚回哪去

@PUBG98k 我想我已经洞察到问题所在了
去除勾选「保存历史连接密码」后是否会删除本地之前已经保存的连接密码？

[houzhishi]

@no1xsyzy 你的思路我复现了一下，即使取消勾选，之前保存的依然在，依然可以直接连接。现在回头想，复现的时候修改一下连接密码是最有效的验证软件是否存在未授权。

[yohole]

开发者的意思就是：解决不了问题，那就解决提出问题的人

[houzhishi]

@houzhishi 或者下拉历史栏手动删除记录，就需要重新验证密码了

[no1xsyzy]

测试视频，审核中
https://www.bilibili.com/video/BV1764y1473i/

[2le]

@houzhishi 你说的很对，是一种验证方式，但我目前还不会轻易尝试。如果问题出现在认证服务侧(比如 session)，修改连接密码后可能会导致 session 被重置，那么这个问题就再也无法复现了。这个时候 Dump 服务端内存才是官方应该优先做的，而不是...哎

[2le]

@yohole 历史栏是空的，无法下拉

[no1xsyzy]

@no1xsyzy 过审了
这么简单的一个问题
我看到 1. 确实没有勾选； 2. 确实是密码验证成功。这两个第一反应就是这个猜想了，硬是搞这么复杂……
sad

[Linken404]

之前研究 teamviewer 替代品就看到过 todesk，考虑到国产闭源产品还是没有实际尝试，并且我最后是用开源堡垒机来达到我远程的目的。
但以目前这个开发方的第一反应，至少这个产品会列在我作为用户的黑名单上了，至少他们给我的感觉完全不像是那种认真的技术人员。

[smilenceX]

想说点什么，又怕被人警告“好自为之”

[Linken404]

@smilenceX 确实，乌云为啥被关的原因找到了，就是因为国内技术圈子里面这种人太多。

[Linken404]

有固定设备远程需求的，可以考虑用 ddns 或内网穿透+jumpserver 来代替，我就是通过家里的 jumpserver 虚拟机远程管理其它家中设备还有几个墙外的 VPS 的。
优点是安全方便，缺点是配置安装较复杂且每添加一个新节点都需要单独配置。

[houzhishi]

@2le 我进行了，对于下拉记录没有的历史情况进行复现尝试，我的操作时，本地端先勾选记住密码，然后连接，然后删除历史记录，然后取消勾选记住密码，下次登陆依然可以直接连接。这个情况完全可以理解为缓存文件导致的。

[houzhishi]

@2le 至于会话保存，我对场景的思考只能是可能服务器会对网络情况不好的时候会不会有一种优化的操作，当然这些是我的猜测，没有任何证据。

[woigghaja]

在线吃瓜，简单点不好嘛，永远陷在猜测里面，建议楼主直接联系开发方吧，不然真的是够无聊的，一直在攻击和澄清中徘徊

[dingyx99]

就这公关质量。。。。这软件不管有没有问题都可以直接拉黑了

[v2tudnew]

不管是不是漏洞、后门，我反正不会在自己电脑上装任何闭源远程软件的，事实上 DDNS+VPN 或者 FRP+STCP 就可以完美解决自己的需求，至于客户？愿意用哪个就用哪个好了，反正虚拟机伺候。

[gitopen]

@fanguangwei 我也用 wireguard，无奈 macOS 下不支持国内外域名分流，每次远程桌面和番墙都得来回切