hoythan

通过一台服务器 frpc 转发的端口会有被攻破风险吗？ 禁用 admin ，启用二次验证。今天凌晨 5 点被扫了。

```
群晖安全检查报告
检查日期：2026-10-29 ，时间均为北京时间（ UTC+8 ）
设备：HomeNAS / DS1819+ / 192.168.10.2
系统：DSM 7.4.1-90080 Update 1
检查时间：约 20:03–20:19

结论

在本次在线检查覆盖的文件名、当前进程、计划任务和日志中，没有发现 L0CK3D 加密已经发生或对应恶意程序正在运行的证据。
但是，已确认 NAS 在今天凌晨收到过明确的漏洞利用输入。不能将本次结果表述为“从未遭攻击”或“绝对未被入侵”。

确认的恶意请求

2026-10-29 05:01:29–05:01:32 ，DSM 登录接口 SYNO.API.Auth_7_login 、PID 9440 ，在三个错误处理位置记录了相同的多行恶意用户名。不能将这三条错误记录当成三次独立攻击。
输入包含 PLUGIN_VALUE_END 、LD_PRELOAD 、LD_DEBUG=libs ，目标文件前缀为 /etc/cron.d/synotkzh 。
编码内容仅在本机离线解码，其意图是每分钟以 root 下载并执行 hxxp://46[.]8[.]78[.]122/xdy5.sh 。检查过程中没有访问这个地址，也没有执行恢复出的命令。
这一组合与公开的 DSM 登录插件环境变量注入利用手法相符。日志显示 authentication failure ，但认证失败不能证明漏洞利用失败；日志中的 euid=0 也不代表攻击者已取得 root 。
认证日志记录来源为 192.168.10.1 。它可能是路由器/NAT/代理，不能据此确定真实外部来源；下载服务器地址也不等于请求发起地址。

关键证据位置（本报告同目录下）

- evidence/var__log__synoscgi.log：第 7615 、7627 、7639 行起的完整多行记录。
- evidence/var__log__auth.log：第 13895 行附近的同时间、同 PID 认证失败记录。
- evidence/var__log__synoupdate.log：第 452 行，2026-10-21 08:11:29 开始更新至 90080-1 ；其后记录更新完成。
- evidence/var__log__messages：第 31474 行，2026-10-21 08:14:11 已以 DSM 7.4.1 90080-1 完成启动；第 32277 行是今天用户确认的重启。

未发现的副作用

- /etc/cron.d 全目录（包括隐藏项）仅见两个 DSM 调度文件，没有 synotkzh* 或 synotgkk*。
- 未发现 /bin/libgld 、/bin/qnetd 、/bin/l0ck.enc 或 /tmp/log.0 。
- 当前 rm.log 未命中上述任务/程序/下载目标的相关清理痕迹。rm.log.1.xz 截止 2026-06-25 ，不覆盖本次事件，不能用于证明本次未发生清理。
- 415 个已采样进程没有命中已知名称，也未发现从 /tmp 、/var/tmp 、/dev/shm 运行、exe 已删除或 memfd 的可疑用户态程序。内核线程无 exe 属正常现象。
- 当前网络连接可对应 DSM 、Plex 等进程。198.18.x.x 与用户确认的代理环境相符，192.168.10.135 的连接属于 Plex ；未因此判定恶意。
- 五项 DSM 计划任务对应自动更新、安全顾问、照片备份、备份检查与数据校验调度，未发现恶意下载执行任务。
- Container Manager 当前没有列出任何容器。
- root 为唯一 UID 0 账户。管理员组为 admin 、hoyt 、Virtualization ；未发现额外 UID 0 账户。未通过 passwd -S 核实 admin 是否禁用，因为系统没有该命令，不能由账户存在推定可登录。

文件扫描范围与完成情况

低优先级枚举文件名、不跟随符号链接。检查 .L0CK3D / .LOCK3D 、read-me3.txt 、libgld 、init-rsysd.lo 、l0ck.enc 、synotgkk 等名称特征。
共扫描 475,823 个文件及目录条目，其中 /volume1 为 432,590 个条目。所有列出的扫描根目录均完成，无权限错误、无扫描超时、无名称命中。
根目录：/tmp 、/var/tmp 、/dev/shm 、/root 、/bin 、/sbin 、/etc 、/usr 、/var 、/volume1 。
排除：/volume1/@sharesnap （快照内容）及 /volume1/@appdata/ContainerManager/all_shares （重复绑定的共享目录，原始共享目录已扫描）。不跟随符号链接，未检查未挂载存储和备份镜像内部内容。
这是文件名与现场状态检查，不是对全部文件内容进行杀毒扫描或对系统二进制做完整可信基线校验。

日志覆盖与保全

已保全 10 份原始日志文件，共 8,264,412 字节：auth.log 、synoscgi.log 及四份 xz 轮转、messages 、rm.log 及一份 xz 轮转、synoupdate.log 。所有副本均完整、采集时未检测到文件变化，并通过远端/本地 SHA-256 一致性校验。采集没有修改源文件内容。
第一轮有界日志扫描发现线索后，第二轮取得上述完整日志；未命中结论以已保全范围为限。
本次 sudo 审计命令本身在 auth.log 中产生了包含检索字符串的记录，已在判断中排除，不能当成恶意命中。
journal 仅保留今天 19:42 重启之后的内容，无法用它还原凌晨插件/进程执行链。未取得完整 HTTP 请求、历史进程审计或网关日志，因此不能证明利用确实被补丁拦截，也不能排除已清理痕迹的历史活动。
原始日志、脚本和结果保存在本机权限受限的目录中。SSH 与 sudo 密码由用户直接在本机终端输入，没有作为聊天消息或工具参数传递。

仍需留意的配置

NAS 当前 IPv4/IPv6 INPUT 默认策略均为 ACCEPT ，未见限制管理端口来源的 NAS 本机防火墙规则。当前 IPv6 地址仅见回环 ::1 ，没有发现可用公网 IPv6 地址。
用户已确认关闭外网端口转发；本次未登录路由器独立核查映射、反向代理或 QuickConnect 的实际可达性。

建议

1. 保持 DSM 管理端口与 SSH 的公网入口关闭；远程管理通过 VPN 等受控入口进行。
2. 在保留当前可信局域网管理通路的前提下，配置 NAS 防火墙仅允许所需来源和服务。本次未修改防火墙或其他配置。
3. 核对默认 admin 已禁用、管理账号启用多因素认证，并确认有 NAS 无法改写的离线/异地备份。多因素认证不能替代漏洞修补。
4. 本次检查结束后，可在 DSM 中关闭临时开启的 SSH 。保留本报告与日志，若后续出现改名、勒索信、共享目录异常或新告警，可直接交给群晖支持继续取证。

公开依据

Rapid7 原始研究（ DSM CVE-2024-10441 与环境变量/cron 注入机制）：
https://www.rapid7.com/cdn/assets/bltad0709de42b54e82/689604359f008cdd02f69917/disguise-delimit-whitepaper.pdf

群晖 SA-24:20：
https://www.synology.com/en-global/security/advisory/Synology_SA_24_20

群晖 SA-26:13 （ DSM 7.4 修复基线为 7.4-90075 ）：
https://www.synology.com/en-global/security/advisory/Synology_SA_26_13

用户所引个案作者的取证记录（个案线索不等于本机感染证据）：
https://github.com/soimy/c3rb3r-rescue/blob/main/docs/attack-path.md

```

可是我更新刚出来就升级了，我是 1819+设备，我已经赶紧把公网端口关闭了，但是数据根本没法备份，我根本卖不起同容量的 80 多 TB 硬盘。只能等真的修复再说了。

@ylsc633 看完 peach 点难受，软件开始写的时候 OpenAI ChatGPT 刚发布，那时候还不会写其他架构，只会 Tauri+Rust 导致后续升级路径被锁死了，后面有 Ai 后想转后台服务形式的发现转不过去了。

@ylsc633 我还是第一次看到这个软件，我研究了下
Peach 的跨设备使用能力更完整，支持 Docker ／ NAS 部署和浏览器播放。
Inscura 还是走老的媒体管理的路线，对资源的整理和检索上更强一些包括 Ai 搜索和类似 Usher 的任意组合查询，另外就是自带播放器对格式兼容性更高一些。虽然也支持第三方播放器，但是内置播放器可以按`视图`整理在播放器界面上。


总之 2 个软件功能 80%以上类似，但是着重点不同，都可以体验下。

Photos Mobile 必须开公网没招啊，今天暂时把 5000 和 5001 端口关了。
还没有被攻击的迹象，但是不知道具体入侵方式有点难受。

@lotux 我也是这两个软件的老用户了，Usher 用的挺爽但是太久没更新了，我就自己写了一个。 除了 Ai 搜索所有功能基本都是免费的，不激活也可以用。

已发现问题
---

macOS ARM64 1.0.1 安装包存在依赖问题。内置 libswscale.dylib 引用了 Homebrew 的 libX11.6.dylib ，因签名 Team ID 不一致被系统拒绝加载，导致启动即退出。

---

已修复,可重新下载

@jiezhi 是独立的，可以导入 Emby Jellyfin ，但是还不支持关联，这是下一步的开发计划。
@coobin 支持类似 TMM 的 NFO 导出，但是手动的比较麻烦。Docker 的开发正在进行中。

@Youko 有开发计划，包括基于 NAS 的网页版，但是暂时不支持，NAS 资源我现在是直接通过文件夹访问的，考虑到有一些 FFMPEG 的工具，在 NAS 环境下性能不够。