请教一个电脑被爆破的问题

[v2ls]

最近发现自己的电脑一直在被远程登陆爆破，只不过一直没猜对账户名。但是有一个问题不解，就是事件查看器里显示每次尝试登陆的源网络地址都是 127.0.0.1 。 看微软文档里解释的是，“源网络地址”指“执行登录尝试的计算机 IP 地址”，127.0.0.1 指本地主机。这难道是说我的电脑在不停的自己尝试登陆自己吗？

[v2ls]

@ik 是这样的，确认是 frpc 的问题了。谢谢老哥。

[Cambrian07]

感谢老哥，我看了一下我的也正在被爆破……

[mingl0280]

我也把 3389 开到公网的，但是我防火墙上有规则，一分钟内尝试三次连接直接 IP 地址黑名单……
结果就是拉黑接近 4 万 IP 地址以后，现在基本上很长时间都碰不到一个头铁的扫描了

[v2ls]

@mingl0280 请教一下直接拉黑 IP 是怎么设置的？我在本地组策略编辑器里设置了失败 3 次就锁定 30 分钟，但我不明白为什么还是每分钟都会有尝试登陆。

[brader]

曾经很多人在公司使用内网穿透的时候，我经常会劝他们两点，1.对这个东西没有足够了解，请不要用。2.未经公司授权，注意法律风险。

[TroyChen]

我去年就遇到了 NAS 被人尝试爆破的情况，是用了 NPS 做穿透，还好密码足够复杂。。。

[mingl0280]

@v2ls 来源太多了。
https://raw.githubusercontent.com/mingl0280/bad-ips/master/addr_lst_export.rsc
这是我路由器上抓到的扫描器 IP 地址列表。

[mingl0280]

@v2ls 我这个是用的 RouterOS 路由器上的防火墙规则设的（有点像用 iptables ）。有一系列规则，大概就是你一分钟创建一个连接的话防火墙会记录到一个列表里，再创建一个连接（如果在之前那个列表里）就加入第二个列表……这样，一分钟内创建了超过 3 个连接的话意味着这玩意儿基本上是扫描器，第三次就直接加入永久性黑名单不再出来。

[Oohuo]

端午假期第一天电脑被黑，rdp 爆破，文件全被锁了
也没惯着，直接就重装了，然后 rdp 换端口，限制 IP

[laqow]

开个 alpine 什么的虚拟机，给个零权限用户开 frp ，公开一个用密匙对验证的 ssh 接入端口或者什么别的加密端口映射工具，再通过虚拟系统的 ssh socket 连 host 。这样顶多爆破到虚拟机没权限的用户。

[sailgu]

 这个是啥情况

[sailgu]

https://tvax1.sinaimg.cn/mw690/6efa7e86gy1h314l0g7f5j22360u4npd.jpg

[ZeawinL]

如果配置了 stcp ，是不是意味着访问者也要启动一个 frpc 服务？那手机不是不能连其他内网远程桌面了？

[v2ls]

@mingl0280 看不大懂，有时间学习一下，谢谢老哥

[v2ls]

@sailgu 事件 ID 是 5379 ，可以查一下是什么意思。我的是 4625 ，表示登陆失败。

[v2ls]

@ZeawinL 是这样的。github 上 frp 也有安卓客户端，但是我没试过。