请教一个电脑被爆破的问题

[v2ls]

最近发现自己的电脑一直在被远程登陆爆破，只不过一直没猜对账户名。但是有一个问题不解，就是事件查看器里显示每次尝试登陆的源网络地址都是 127.0.0.1 。 看微软文档里解释的是，“源网络地址”指“执行登录尝试的计算机 IP 地址”，127.0.0.1 指本地主机。这难道是说我的电脑在不停的自己尝试登陆自己吗？

[shanch]

有内鬼，停止交易

[huntagain2008]

小白想到供应商远程到故障服务器，我这边看到的日志是 127.0.0.1 通过 ssh 远程调试

[totoro625]

看一下有没有运行 frp 等内网穿透工具

[v2ls]

@huntagain2008 没太看懂老哥你说的。我这个是个人用的电脑。昨晚我把远程桌面关闭后，就没有这种尝试登陆了，今天早上打开远程桌面后就又开始了。很无语。

[ik]

比如 frp 穿透的 local ip port 127.0.0.1:3389 就会这样吧

[rpish]

已经被 getshell 了 对方想爆破 rdp 远程操控
全盘扫描杀个毒先 然后有没打的补丁赶紧打上

[v2ls]

@totoro625 是有装 frpc 的，您的意思攻击者企图用我的 frpc 登陆吗？

[v2ls]

@ik 意思是攻击者尝试用我的 frp 登陆，所以才显示的是 127.0.0.1 吗？

[v2ls]

@rpish 好的，我先杀个毒看看，谢谢老哥

[Juszoe]

是 frp 就正常了，你是不是把 3389 映射到公网了

[v2ls]

@Juszoe 没有用默认的 3389 ，换了一个高端口。意思是说 frp 不太安全吗？

[imes]

@v2ls 11# frp 要使用 stcp ，双端加密，不然肯定会被人批量扫描爆破。

[sola97]

对方直接通过高端口爆破，日志里也是 127.0.0.1 嘛

[Juszoe]

@v2ls #11 不是 frp 不安全，是你把远程桌面映射到公网这个“行为”是不安全的，此类行为建议开启 frp 的 STPC 功能，避免让端口直接暴露在公网上导致任何人都能访问到。

[v2ls]

@imes 明白了，我这就去修改一下配置。

[huntagain2008]

@v2ls #4 只是想说供应商远程调试服务器留下的日志的源网络地址也都是 127.0.0.1 ， 当然不是说供应商在本地登录进行调试，他是远程连进来的。这个并不奇怪，也和#1 的内鬼没有关系。

[v2ls]

@Juszoe 明白了，谢谢老哥。我刚才把电脑的 frp 关闭后，确实没有尝试登陆的行为了。我现在去开启一下 STCP 。

[mcluyu]

赶紧去看了下我的， 已经被人爆了很久了😭😭😭， 能看到几个 IP 还，有立陶宛的。。我有公网 IP ，端口转发出去的也是，太危险了。

[ik]

@v2ls #8 差不多是这意思吧， 你可以直接把 frpc 关掉，再看日志就知道了

[v2ls]

@mcluyu 我部署 frps 的服务器是 windows server 系统的，刚才上去看了一下，也是在被人不停的尝试登陆，而且不显示源网络地址，都不知道是哪的攻击者。