家里的 MacMini 5900 端口被扫，挂在了一个 VNC 公开网站上

[FringJX]

背景：
家里有台 Macmini 当软路由 24 小时开机，连着显示器，1 分钟自动休眠。
出现异常：1.最近显示器老是半夜自己点亮一开始没当回事
2.这几天老是有邮件尝试改谷歌密码电报密码，看了一下登录记录也没当回事。
3.系统老是自动变英文，我还以为是 macOS26 beta 的 bug
4.直到今天上午，我使用电脑的时候，眼睁睁看着有人和我抢鼠标并且屏幕有提示，这才注意到电脑被人远程控制了。




原因：一开始想着省事，家里宽带有动态公网 ip ，把 mac 的 5900 端口配合路由器端口转发放在了公网上，mac 的密码一开始为了方便随便设置了 1234.

发现之后，第一时间把网线，开始找线索。
最后一个操作我电脑那个人还加了我的 telegram ，说他是在一个网站上看到的我的电脑屏幕共享。
也是这个人试图重置我的密码，还用我的已经登录了 appstore 的土区账号给他的 telegram 开了一个月会员（我账户余额只能够开一个月的）

我看了一下这个网站，依然有很多电脑在裸奔，密码都是 123456 这种，为了隐私和安全，我给打码了不要问我网址是什么。


最后复盘：金钱损失就是上面说的一个月会员 94 土耳其里拉。其他没有大损失。
不过看浏览器的记录，最早可以看到 1 个月前的记录，登录了一下数字货币钱包和交易所、亚马逊、paypal ，好在没有什么价值，也没绑卡。






比较后怕的是，这电脑登了我的大号 icloud ，相册、NAS,(大概有 10w 张照片和视频)、短信、备忘录密码存储器，都是实时同步的，在外网裸奔了至少一个月，不知道隐私泄露了多少，相册里甚至有我所有的信用卡正反面，我所有的短信都是同步的。

最后希望大家引以为戒，不要给电脑设置简单密码，更不要把自己内网的端口随便放在公网上。

感谢各位的批评和建议，目前做了以下措施：
1.重置了那台 mac ，设置了复杂密码
2.检查了重要账号的登录活动，并修改了密码，检查了双重验证。
3.锁了信用卡
4.检查路由器端口映射
5.通过苹果反馈退还了恶意订阅
6.和钱相关的 app 和信息，只留在手机操作，不和电脑做同步。

[nealHuang]

哈人

[atone]

笑死了，上 v2 的人里竟然还有安全意识这么薄弱的😂

[MiguelTapia]

这兄弟什么都告诉你，人还蛮好的

[shinsekai]

开了 DMZ ，如何查看是否被扫？

[FringJX]

@shinsekai #4 没开 dmz ，只是路由器把 5900 放行了。

[lzyroot]

我也有台 todesk 一直挂着呢，不过远程的密码不是这么简单的，加了两步验证

系统密码虽然是纯数字，但自带的屏幕共享关着，无所谓了

[Ipsum]

胆子大，我都是只敢开 vpn 再用本地 ip 链接。

[wsjjacky]

我只能说：兄弟，心真大啊👍

[ziseyinzi]

人被杀就会死，端口放开就会被扫。

[avrillavigne]

good job

[privil]

笑死，见过胆子大的，没见过这样裸奔的

[xqzr]

关键词：弱密码|公网|IPv4

[nkidgm]

基本上底裤都被人翻朝天了。

[Lentin]

建议你这种的直接格盘 谁知道有没有人给你放什么后门

[MASAILA]

我之前也遇到过，跟你情况基本一样

[009694]

只能说咎由自取😂

[totoro625]

格式化+全部重置密码+换卡+检查设备列表
原因：
1 、cookie
2 、对方已获得最高权限
3 、对方拥有你的全部数据
4 、对方在等你更多有价值的数据

[mauve]

一直迟迟不肯用 Screen Sharing( With Tailsclae IP) 就是因为 Mac 对于屏幕共享的权限颗粒度不够，而我的电脑也不是很复杂

[zhhmax]

牛逼，信用卡正反面敢直接放相册。

[xuejianxianzun]

有点离谱了，早该警觉了

[python35]

别人的可能是蜜罐，而你是真正勇士😂

[wellblink]

远程桌面是放在 WG 后面的

[iamqk]

该所有密码吧，尤其是银行等敏感的
登陆了 iCloud 你的所有密码都会被人看过的

[cctv6]

@atone 有而且不少呢。特别是一些喜欢折腾自建的公网 ip 路由器内网穿透的，出问题了大概率连自己都不知道。。。

从某种意义上来说，运营商在家用宽带里面主推 NAT 其实是保护了很多人的网络信息安全。。。

[duolaamengv2]

你是勇士😂，密码 1234 加公网暴露

[Tink]

心大

[Rorysky]

开 tg 会员为什么不用验证密码？

这哥们也算盗亦有道了

[RlyehHime]

看到密码 1234 就绷不住了

[yxjxx]

我用 surge ponet 回家

[FringJX]

@yxjxx 我其实也是只用 ponte,这个端口属于我大意了，之前测试一下忘记关了

[Autonomous]

吓得我赶紧看防火墙配置，还好早就屏蔽了 5900-5902 了

[int80]

tailscale 都是傻瓜式操作了还要暴露端口给公网，不知道该说些什么

[williamtsang]

这可能就是方面教材，所以运营商不给你公网 IP 也是有道理的。不要把所有的端口暴露（只允许必须使用的），如果有可能，可以搭建 OpenVPN （带证书登录的），这样就只开放一个 VPN 端口即可。

[pikko]

还好我对端口暴露一直处于敏感状态。之前服务器的 22 端口都是每次用之前在服务商打开，不用的时候关闭。（做了转发我可能也会做这种二次防范）

[tysb777]

我的 dsm 也在公网放着，改了端口，改了强密码。

[gulullu]

好奇你用户名是啥？难道也是 admin?

[Fu0kSky]

光是转发高端口加强密码还不够，我主路由器上还做了 端口扫描检测 PSD 和 禁止泛洪 ping 。

[FringJX]

@gulullu 用户名是我自己名字的音译

[XDiLa]

这种弱智问题麻烦就不要发 V2 上让人招笑儿了

[FringJX]

@XDiLa 那已经发出来了，就这样吧，引以为戒，谁没个疏忽的时候。忘记什么时候加上测试的，我都没有用过公网，我都是用 VPN 回家的

[KSroido]

活该吧，啥都不懂非要乱搞公网 ip

[KSroido]

苹果标准化了设备，让太多小白以为自己可以驾驭 Linux 和各种“好玩”的技术，而无视其他条件

[jonahtan]

赶紧检查了下主路由的端口映射。发现只开了回家 vpn 端口:)

[chouxiang99]

@hfl1995 #38 有点疑问 你自己名字的音译 理论上得帐号+密码都对才行吧 人家怎么才能知道你的帐号是啥呢

[FringJX]

@chouxiang99 你看那个网站截图，有个 server name ，那个要是纯英文的话，就是用户名。具体怎么获取的我还在反思。可能 VNC 有些兼容的协议，可以直接通过密码就能认证？ 因为我看 mac 的远程管理设置有这个一个选项

[lguan]

楼主热心发个贴分享一下，提醒大家，本意这么好，信息差永远都是存在的，谁都难免会弄点篓子，楼上一些大聪明冷嘲热讽的，是觉得自己看起来比别人强很多吗？

[cz5424]

同上，对方人还蛮好的

[NeoChen]

照片估计已经被翻烂了。。。

[hjj0529]

看来还是 vpn 回家比较安全，我虽然有公网 ip 我也是 vpn 回家。 不暴露内网设备。

[chouxiang99]

@hfl1995 #45 感觉不应该啊 我刚刚试了一下 删除我之前的连接 重新登录，是需要帐号密码的 也就是说 正常来说 帐号人家是不知道的才对 你圈出来的那个选项 感觉也是需要帐号密码才能控制 不过你这个确实敲响了警钟 我直接改了一个高强度密码 之前我就简单的四位数字密码