为啥公网环境这么恶劣？一放开端口必中病毒

[ALLROBOT]

如题，公网怎么整的像黑暗森林，谁敢亮火，就等着猎人打黑枪。。。就没人整治公网吗？

[opengps]

公网就是这样啊，没人能治理的了整个公网

[ladypxy]

首先万打好补丁……

[buyan3303]

照国内网友的说法，不能治理，一旦有人治理，多数是国内审查的那批人。

[ALLROBOT]

@buyan3303 那批人会把那些时刻扫描端口送病毒的家伙送进监狱吗？

[msg7086]

治理不代表抓得到人。

[buyan3303]

@ALLROBOT 可能不会。
送进监狱，首先要制定法律条款：
扫描端口送病毒，这个看病毒是否像以前的熊猫烧香一样破坏力极强。
如果只是类似无脑下载软件返佣金，这种危害性不大，或者无危害性的行为，顶多只是教育一下，

如果立法，某些人急了跳出来是你限制互联网自由。
如果抓不住，又跳出来说这些人垃*圾。

[cxh116]

搞备案，gfw 治理的还不够好，最好只能用国产系统，内置反诈，绿坝，不然不能连网。

自由对我们中国人还不如换便利。

[luckjoe680]

不实名也喷 实名也喷

[cdlnls]

只能说开放端口有能被人恶意访问的风险，中病毒这种事情只和使用端口的软件是否有漏洞或者后门有关系。和开放端口没有直接关系。

[systemcall]

那就把公网 IP 都回收，全部用 nat4 ，ipv6 的入站全部 drop 掉
治理好了

[duke807]

op 用的什么操作系统可以说一说

[duke807]

大家手机都是连接公网的，没见有不安全

[duke807]

@buyan3303 有没有可能已经立了法，叫做破坏计算机系统罪什么的

[opengps]

@duke807 你接入公网不代表有公网 ip ，你是躲在 nat 之后才感觉安全了。

[duke807]

@opengps 手机都有 ipv6 ，且永许入站

[yazinnnn]

迷惑发言

[buyan3303]

@duke807 关键是很多法*规细节，是很模糊，没有一个约束。
另外某些人其实很奇怪的，如果是国外一个或者一部分团体发起的约束公约，他们就信奉为行规，并坚决执行，谁违法公约，就曝光他。

而国内个体呢，你不吃了我，我不吃了你，已经很不错了，还 TMD 公约（利益至上的居多，参考统一推送），既然民间不能执行，那如果上头部门立法执行呢？可立法了，民间的那些人，又不支持，又不反对。

就 TMD 矛盾。

[opengps]

@duke807 历史上的自动扫描自动爆破工具目前还有很大部分不支持 v6

[cmdOptionKana]

这很奇怪吗......

商场为什么要装监控?

小区为什么要有保安, 家家户户为什么要关门, 汽车为什么要锁车?

你习惯每天出门不锁门, 失窃了骂世界黑暗环境恶劣, 质问没人帮你守护财产, 骂得没错, 但不太符合正常人的思维.

[leaflxh]

用反代 /wireguard 系 /配好防火墙

软件指不定会有什么漏洞的，没有漏洞就没有研究信息安全的人了

[shwnpol]

如果 GFW 的作用是帮助国内机器防御公网的攻击，现在应该会有很多人歌功颂德吧？但这是不可能的，自家 it 公司还得靠 DDOS 发展旗下的业务呢

[leaflxh]

如果说这事怪到监管上，那就所有公网 ip 全部实名，所有交换机路由器保留 20 年通讯记录，同时因为管不了国外的，出海网络永久关闭

[lxh1983]

@opengps 支持了你会去扫 IPV6 吗？现在运营商分配给家庭宽带的前缀是 62 位的，每个用户下面有 2^64 个 IP ，IPV4 总共才 2^32 个 IP ，AB 类 IP 更少

[opengps]

@lxh1983 虽然 ipv6 让 ip 数量暴涨，也设计了隐私防护，但算力同样也涨了，未来的黑客工具自然也会变化，而不要局限于之前那些。道高一尺魔高一丈的规律破不了的

[FreeEx]

看来好多人是不懂网络安全的

[hhjswf]

网络好复杂。。

[jfdnet]

迷惑发言 +1

基本的防火墙都不开么？

[snw]

@leaflxh
然后实名数据通通泄露，社#工#库开始卖任何中国居民的历史通讯记录是吧？盒武器狂欢？
为什么监管总是被怪，那是因为提出的监管手段对解决问题没多大帮助，反而带来更大的问题。

公网开端口中病毒这种事，根本问题在于开放公网端口的设备存在安全漏洞，这其中大部分是软件漏洞和配置不当。
要解决这些问题，对于商业宽带来说，应该要求 IDC 提高处理 abuse 举报的效率，迫使存在漏洞的服务器的管理员尽快修复漏洞；对于居民宽带来说，应该要求应用市场对 app 强化安全性审核；对设备厂商要催促修复固件漏洞；对用户较多的 SDK 厂商和第三方固件制作者如果存在恶意代码要追责。
然而实际上呢？某头部 APP 利用漏洞搞事这种妥妥入刑的事情，官方一点声音都没有。

[sfdev]

迷惑言论！你觉得应该要怎么整治公网环境？

[esee]

自己水平不够就不要开公网啊，你赤身裸体走出去然后要求警察把看你的那些人都抓起来？

[muooOOO]

你出去玩会不会锁门？洗澡会不会拉窗帘？

[iloveayu]

啊这，结合楼主历史提问，一开口就是老伸手党了，
你都废精力来这提问了，为啥不再自己动脑子思考一下呢。

[leaflxh]

@snw 所以这事就不能像楼主这样怪到监管上，指望有人整治。应该自己做好安全加固，除非网警数量赶上民警数量

[whileFalse]

ipv4 拢共 40 亿个，刨去非公网的 IP ，还剩多少？全扫描一遍很快就完事了。

[lyc8503]

一般你随便去一家云厂商新开 vps ，一定会开 ssh 22 端口，开了端口就不安全吗？

不是开端口不安全，是用弱密码登录 /暴露有漏洞的程序不安全

[ochatokori]

？？？
为啥大街上环境这么恶劣，一掉钱必被捡走

[yazinnnn]

说句难听的，v2 一些用户天天骂共党爹味儿浓，然后又天天盼着一个超自然的爹给你兜底，怎么着，普天之下皆你爹？

[zhady009]

屏蔽掉国外的 ip 你会发现瞬间清净很多

[tin3w5]

我很怀疑 V2 上近两年是不是多了一些故意妖言惑众的缺德之人：
1. 我第一次听说 GFW 能防御网络攻击，防你妈个大 asshole 的，它不对外发动攻击就不错了。当年中国的根域名服务器资格为什么被取消？不是 GFW 瞎他妈污染把东南亚的某些国家的 Facebook 给污染了，最后被大家一致投诉而被取消了吗？当年因为配置错误，把流量打到百度去，结果百度被打瘫了的事情还不到十年。说 GFW 低于网络攻击的人，你们是属鱼的是吗，7 秒的记忆？前段时间“修女震惊图”里的“罪人”用的是你的嘴才震惊了修女吧！
2. 有人提到了实名制与 GFW ，按照 GFW 是地域攻击的说法，默认情况下除了“有背景的人”，没人敢在国内发动大规模的网络攻击——理论上来讲，包括大批量扫端口（有针对性的小范围扫描除外），因为可以轻松溯源。那到底是谁“攻击 /入侵”了你的电脑呢？要知道这货是分布式系统，而且不同地域的配置规则还不一样，如果只是为了抵御外部攻击，没必要这么麻烦。
3. 计算机网络本就应该具有一定程度的匿名性和开放性，从计算机网络被设计出来至今就应该是这个样子。如果你不具备一定程度的自我防御、网络安全知识、计算机操作系统基础、计算机网络技术等必备技能，就应该去主动掌握。而非来这里怨天尤人说网络环境差。怎么，你要顺被给某诈骗 app 顺带推个广告吗？科技不是阻碍人类发展的绊脚石，懒惰和妄图一蹴而就是才是。
4. 暂且不论黑暗森林说法的争议性，你所说的情况不适用于“黑暗森林”学说。很暗森林的前提是当前科技上限的没人清楚。而你所说的，计算机领域大多数人能接触到的上限，是明确的，是你自己的懒惰让你“懒得去了解”罢了。

[miv]

公网，你要上公网就要有自己的技术防护手段才行的。这怪不了别人的。楼上老哥举个例子说的很明白。你出门肯定会锁门的。不可能裸着就出去了，然后又要别人保护你。技术手段达不到。

[crab]

现在算好了吧。早期 adsl 没过路由器公网 IP ，IE 浏览器网马就中标。

[DefoliationM]

目前还没有遇到什么问题，感觉平时注意好就行，不要乱开端口，开了端口也要做好对应的防护。

[pipishrimp]

@duke807 移动的 ipv6 不允许入站

[GeekGao]

公网就是公海啊，总会有海盗的，你要么不出海要么就学会武装保护自己。

[fackVL]

你把钱摆在地上，当然会有人捡，更何况捡这个钱还很难付出什么法律成本。

[txydhr]

@GeekGao
对海盗都治理不了还治理公网
90 后，尤其是中国或者说东亚的几个国家的 90 后根本不知道社会纯自然状态下是多么的残酷

[txydhr]

想当年电脑直接 pppoe 拨号的时代，防火墙杀毒软件两件套必不可少

[paradoxs]

哦？ 这是端口的问题吗？

难道不是你安装的软件有各种漏洞，才会让病毒被送进来吗？

[onice]

你言重了，一开放端口就中病毒。实际上并不是这样，中病毒的都是不懂安全的人。比如安装 redis ，保持默认配置不设置密码，又开放 9379 端口到公网上。攻击者可以直接访问你的 redis ，覆盖你的 ssh key 直接控制你的服务器，或者是直接反弹 shell 控制你服务器。

你说，这种情况，你不中毒谁中毒呢？

你去自驾游，然后停车不关车门，东西被偷了，反而抱怨环境恶劣，需要整顿。问题是大家都关车门，谁叫你不关车门呢。

[ohwind]

？你把裤子撕开，又不躲进屋里，然后说这世界怎么这么危险。

[expy]

哪有那么容易，只要别搞弱密码甚至无密码，或者装过时版本漏洞已经公开的软件。

[ltkun]

端口是啥东西？不用 win 会中毒？好久没杀毒了

[duchenpaul]

自己不注意卫生, 然后细菌感染生病了, 说这个世界太残酷了?

[cndns]

我们不知道 0day 比较多

[AhECbt]

无病呻吟的社会巨婴？

[EdmondGUO]

这么吓人的嘛，我开放了几个公网端口，群晖控制页啥的 都用的强密码 会不会有问题

[Sisyphe42]

你第一次听说网络安全？
是不是还是国家给保护得太好了，满脑子伸手要什么服务就给你弄全套？
而且你这比喻也太不当了

[laozhoubuluo]

@systemcall 没啥用，就明天把境外互联网掐掉，大陆变成互联网孤岛，照样有人互相攻击。Mozi BotNet 至少前年开发者就被抓了，去年年底国内活跃终端数约 1.5W ，占比 50% 。很多僵尸网络是传染模式，设备替换的速度远远跟不上中招的速度。

@onice 是的，重要的是做好防护。别人开门门口放安检机，内部还有人监视，屋里面值钱的东西都锁起来。作死的门缝一看就是金银财宝，门推一下就开了，肯定完蛋啊。

@EdmondGUO 定期更新的白设备相对好一点，如果信心不足或者是黑群晖建议还是外面套一层 VPN ，先连 VPN 再连群晖会安全点。

[dnsaq]

你不上网不就行了，搞笑吧

[decade1024]

@zhady009 #38 "屏蔽掉国外的 ip 你会发现瞬间清净很多"---------------中国人不坑中国人是吧？

[greatbody]

公网环境本来就是这样。机器和机器对话，别人的机器给你的机器发了消息说我是你的管理员，你的机器信了，能怪谁？对公网所有的数据包进行检测成本太高，甚至可能做不到。因为一个数据包是否是病毒取决于接受的机器如何解析这个数据包。

所以你的预期本身就不合理，开放公网就应当做好会被扫描和攻击的准备。做好防御，做好记录。
抓到了攻击就记录信息，如果能调查确认是国内就去报警，如果是国外，那就禁掉 IP 段。

[lopssh]

ipv4 拢共 40 亿个，刨去非公网的 IP ，还剩多少？全扫描一遍很快就完事了。

[lopssh]

屏蔽掉国外的 ip 你会发现瞬间清净很多。

[lopssh]

现在算好了吧。早期 adsl 没过路由器公网 IP ，IE 浏览器网马就中标。

[mohumohu]

地球太危险了，人被杀，人会死

[HankLu]

什么原理？我怎么听不懂啊

[zhady009]

@decade1024 跟这有什么关系? 举个例子 SSH 过来尝试登陆 95%都是国外的 IP

[me404]

早该管管辣！

[Lentin]

何不食肉糜

[jiayouzl]

我公网开了 mysql,openwrt 端口,没啥问题啊,好了好几年了.密码都是设置过的,你指的不安全是哪里不安全?

[e3c78a97e0f8]

@luckjoe680 自己立靶子打

[e3c78a97e0f8]

@buyan3303 你装什么外宾啊，国内的监管机构会给你保护网络安全？拼多多的事情都在装死，还能给你个人用户裸奔的事情防护？

[Vagitus]

@decade1024 中国 ip 不等于中国人，国外 ip 也不等于不是中国人，都是被控的肉鸡，只能说中国公网 ip 少，相对更安全，被控的占比就少。ip 并不能说明攻击者来自哪里。

[buyan3303]

@e3c78a97e0f8 你杠你赢。

[e3c78a97e0f8]

@buyan3303 扣帽子真娴熟

[me221]

@buyan3303 外宾您好

[thevita]

现在中招比 10 年前难多了吧？ 1. 个人用户来说, 各种全家桶别的不说，推更新还是很及时的，win10 后也有自动更新了, 基本就杜绝了病毒 /木马的泛滥，2. 对于专业 /企业 用户，确实面临的问题更复杂了, 这必然需要你自己有安全意识和基础的技能

[thevita]

现在在公网上扫描+批量打的基本都是, 挖矿 /勒索, 不会使用特别复杂的漏洞, 不会使用未知漏洞（因为划不来，追求的就是广撒网），如果你是因为这样中招，我要怀疑你的专业能力了

[cxh116]

@tin3w5 只能说理解能力堪忧，还在这里骂。

gfw ，绿坝哪个不是假借安全之名，行罪恶之事。
要达到楼主的意思，是不是得出一个更罪恶的软件和措施才行，那又得多恶心人。

https://zh.m.wikipedia.org/wiki/%E9%98%B2%E7%81%AB%E9%95%BF%E5%9F%8E


防火长城[1]（英语：Great Firewall ，常用简称：GFW ），中文也称中国国家防火墙[2]，通常简称为墙、防火墙[3]等，中国国家互联网信息办公室称为数据跨境安全网关[注 1][4][5] ，是中华人民共和国政府监控和过滤国际互联网出口内容的软硬件系统集合[6]，用于通过技术手段，阻断不符合中国政府要求的互联网内容传输。


https://zh.m.wikipedia.org/zh-cn/%E7%B6%A0%E5%A3%A9%C2%B7%E8%8A%B1%E5%AD%A3%E8%AD%B7%E8%88%AA

绿坝·花季护航（简称绿坝或绿航）是中国大陆的一款内容控制软件。政府称安装软件的目的在于保护未成年电脑用户，防止他们浏览色情网站等有害内容，但过滤的准确度过低。另外该软件可过滤一些政治敏感的信息，因而有观点认为这一软件是政府进行网络审查的工具之一。政府大规模推行软件预装措施招致诸多民众和媒体异议。[1]中国大陆政府原定于 2009 年 7 月 1 日起，要求在中国大陆新生产和销售的电脑进行全面预装，后迫于舆论压力而表示无限期推迟该规定[2]。

[Peek]

你在大街上仍一叠现金，哪个地方能做到过了一天还在原处？

[greatbody]

@Peek 当然是自由的美利坚。

[ntgeralt]

不错啊，电信部门发一个帖，让一群小白不敢再用公网。
灵魂拷问 1：为啥公网了你不会设置单独端口映射而是全部映射？
灵魂拷问 2：为啥全部映射之后你还保留弱密码让别人随便跑字典连上你？为啥黑客那么小白植入病毒还能让你知道

[kcnine]

你服务有漏洞才会中毒，没漏洞最多就是 DDoS ，但是个人服务别人为啥浪费资源 DDoS 你，公网开放服务要有基本的安全措施。 （别跟我提 0day ，你知道 0day 多贵吗，你得有多大价值才会被人用 0day 攻击）

[Tounea]

看到 7 楼那位不知是反讽还是天真的就是这么认为的，GFW 在我认知里重来不是防境外网络攻击为主，只不过是独裁者胯下的一条“遮裆布”，生怕自己“烂裤裆”的事被国内人知道，不利于愚民洗脑！

[Rnreck]

@ltkun 啊？😯哥们你这，，，，怎么能上 v 站的