成功用了堡塔云waf防御了此次飞牛的0day攻击

A媓哟

1. 前提说明

这几天在处理家人退休的问题，家里的飞牛nas也没管一直用1.1.11版本，直到飞牛官方发短信的时候才有时间抽空远程更新了系统，回家才看到受到攻击了

2. 遭遇情况

直接上图

1. 因为我是高端口，还禁止了国外，通过openwrt的ipset封的只剩几个地区，所以目前发现只有一个人扫，躲过了这次风险
2. 由于雷池小水管，我是拿来护其他的比如webdav和备份等功能的，由于宝塔量大，所以用来防护主页，这次相当于的堡塔waf直面路径穿越风险

3. 建议说明

1. 给nas接入公网之前, 最好要加一层代理(虽然宝塔waf界面不好看，但是量和功能给的很多，为什么不去狠狠的用呢)，毕竟相比于一层直接进系统了，两层能让自己的环境更加有容错
2. 如果是用ipv6, 有的路由器是没办法控制ipv6端口的, 请根据路由器情况来进行判断
3. 一定要高端口（20000+），nas界面虽然直接域名访问会很方便，但是毕竟如果出问题是对自己安全的不负责，我们无法确定下一次是否出现问题，只能尽可能去做到缩小风险
4. ssh端口不要公布，并选择隐蔽端口；
5. 所有远程管理走vlan，不要暴露管理信息和端口在外；
6. 密码最好使用高密，尤其是管理员账户务必超密（20个字符以上并且带特殊字符）；

4. 我家现在的网络架构

4.1. 发生问题之前的

flowchart LR 高防 --> clamav防毒墙--> 堡塔waf/雷池--> 飞牛沙箱+防火墙 --> 端口跳转 --> 飞牛服务器

4.2. 发生问题之后的

flowchart LR 高防--> lucky--> coraza --> clamav防毒墙--> 堡塔waf/雷池--> 飞牛沙箱+防火墙 --> 端口跳转 --> 飞牛服务器

5. 后期预告

1. 因为这件事情, 如果各位感兴趣的话, 我会抽空介绍一下lucky自带的特殊应用防火墙--Coraza（用来防御挂马等等）, 以及如何在路由器系统或者其他系统上安装clamav的防病毒代理,帮助各位能够更加安全的将内网应用放在公网访问, 去获得更安全的网络环境
2. 如果想尝试下堡塔waf的牛友门，可以去看我之前写的帖子，有部署教程和介绍：国内三大开源WAF科普对比(3)--堡塔教程 - 攻略分享 飞牛私有云论坛 fnOS
3. 如果正在苦恼如何让lucky和waf进行对接的，可以看看这篇帖子：lucky与waf的对接教程 - 攻略分享 飞牛私有云论坛 fnOS

没有如_U5l00

666学习了，谢谢大佬分享，我也打算上一些防护了。不能这么**奔了

JN.Lee

宝塔云有没有手动部署的compose文件，不太想用一键安装脚本

yaerya

宝塔WAF是收费的

A媓哟

JN.Lee 发表于 2026-2-4 09:45
宝塔云有没有手动部署的compose文件，不太想用一键安装脚本

可以去官网看看

A媓哟

yaerya 发表于 2026-2-4 10:55
宝塔WAF是收费的

没有不收费的，防护功能全部给用不错了，你上之前的文章看下

鸟大无比

这个飞牛沙箱是什么？

faba333

谢谢大佬分享，期待大佬多多分享安全相关教学知识

A媓哟

鸟大无比 发表于 2026-2-4 14:56
这个飞牛沙箱是什么？

前面在架一层飞牛虚拟机，waf部署在虚拟机里面，快照备份

暖阳

A媓哟 发表于 2026-2-5 10:52
前面在架一层飞牛虚拟机，waf部署在虚拟机里面，快照备份

像你这样的高手可以开虚拟机
但是像我们这样的小白，其实不建议用虚拟机再安装个waf
因为小白一般对linux服务器防护不太了解，如果虚拟机被侵入，那么飞牛做再多防护也白搭了，因为飞牛对局域网几乎全信任。

所以，虚拟机部署waf看似是多了层防护，实际上是多了一个风险点。

A媓哟

暖阳 发表于 2026-2-5 20:06
像你这样的高手可以开虚拟机
但是像我们这样的小白，其实不建议用虚拟机再安装个waf
因为小白一般对linux ...

看起来你确实对这一块没怎么学过，也不太了解，虚拟机和虚拟机快照就是用来发现入侵就关机拉闸防护的，是一层防火墙一样的存在，waf部署什么机器上没区别，主要是要求有个ip并且能给内网应用做代理，不太理解你的担忧在哪里？后面出个沙箱专场得了

月光微暖冬亦凉

雷池也防上了

暖阳

A媓哟 发表于 2026-2-5 20:38
看起来你确实对这一块没怎么学过，也不太了解，虚拟机和虚拟机快照就是用来发现入侵就关机拉闸防护的，是 ...

waf需要部署在Linux服务器上
以debian为例
小白根本不懂debian怎么防护，怎么安装防火墙，怎么杀毒，怎么看日志。
假如这台debian被侵入，再通过debian侵入飞牛
至于你说的快照，关机拉闸啥的
小白可能根本发现不了被侵入

zgpnhhy

麻烦测试一下
http://[ip]:[port]/app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../

能否防御,我这边的防火墙无法阻止访问目录,但是可以跟你一样阻止
http://[ip]:[port]/app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../etc/passwd

A媓哟

zgpnhhy 发表于 2026-2-8 20:09
麻烦测试一下
http://[ip]:[port]/app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../
能否 ...

可以防御

A媓哟