CVE-2025-55182
周六我的两台服务器被黑客执行了恶意代码，挖门罗币，还好 nextjs 项目是用 docker 跑的，把容器停止镜像删掉就没啥大问题。
这两个服务器跑着 nextjs 的项目，用 nginx 做反代，在 cf 配置了 dns 解析，这样用域名直接访问这个服务内容。并且原服务并没有开放相关端口，只有内网能访问（ nginx 反代）。
我好奇黑客是怎么扫到这服务的？
是用 fofa 这种 serch engine 搜的么？搜索的关键字是什么？全网搜网站带有 nextjs 等关键字的前端网页么？
害人之心不可有，防人之心不可无。虽然做了相关升级，但还是想知道黑客怎么发现相关服务的，有注意服务器再做好相关防护。
 |
ainoDec 8, 2025
1
 |
 |
ThirdFlameDec 8, 2025
2
举个例子：搜索 dify 页面的 title
|
 |
E263AFF275EE4117Dec 8, 2025
3
我之前部署的一个在公网的项目，我搞了两种方式；
1. openvpn ，通过内网 ip 访问； 2. nginx 配置按地域拦截，对国外 IP 禁止访问，然后加 mtls 证书； 这样应该能避免被扫到从而暴露相关漏洞了吧，我也不确定。 反正就是能加大别人的难度，虽然自己繁琐了一点但安全了许多。 |
 |
46foDec 8, 2025
4
特征扫描
|
 |
wanniwaDec 8, 2025
5
我记得之前了解的是，那些人会把厂商的一定固定网段全部扫一遍，会扫一些通用端口。最经典的就是装了 redis 不设密码，还忘了限制访问的，100%会被黑。
|
 |
zhengfan2016Dec 8, 2025
6
nextjs 的特征还是很好识别的，只要 html 带有^/_next/的任意 css ，js 都是
 |
 |
freevioceDec 8, 2025
7
+1 我们部署的 dify 也是被挖矿了，周末紧急修复了下，不知道怎么攻击进来的，白名单限制的是办公网
|
 |
itechifyDec 8, 2025
8
fofa 等全网扫
|
 |
EsecDec 8, 2025 via Android
9
几年前 cf 博客有一篇对全球不同 rst 特征研究的文章说到全球有很多每周甚至每天扫描一遍全部 ipv4 空间的探针，因为用了 znmap 还是啥有特殊的协议号才观测出来
|
 |
WDATM33Dec 8, 2025
10
用 ipv6 目前还没被扫到过
|
 |
CHTuringDec 8, 2025
13
公网的话，搜开源项目特征，比如 title ，version 都可以。
|
 |
14
网络空间测绘，网络空间搜索引擎，佛法无边： https://fofa.info/
|
 |
dosmlpDec 8, 2025
15
只要是 ipv4 一定会被扫，之前家宽用了 vnc 弱密码还被上传了一个恶意文件
|
 |
16
都学会了这也就不那么吃香了
说给黑客 |
 |
dddd1919Dec 8, 2025
17
99.9999999%靠社工学
|
 |
yungo8Dec 8, 2025 via Android
18
反代没做特殊处理和直接访问有啥大区别？
|
 |
bbbblueDec 8, 2025
19
如果你在服务器上申请过 https 证书 会有个公示的网站 （你用 cf 你的服务器也得申请 用 flexible 太不安全了）
我之前一申请完 https 服务器就一堆扫描。。。。 |
 |
qiuboDec 8, 2025
20
大多黑客都是脚本小子，服务器甚至我本机内网穿透都在扫，真的服了
|
 |
biuyixiaDec 8, 2025
21
你是不是还发视频号了？我中午看到一个说被黑了是不是你？程序员鱼皮
|
 |
workshopDec 8, 2025
23
@E263AFF275EE4117 不能，从 80 端口扫描的，从正常服务找特征
|
 |
SoftmlDec 8, 2025
24
各种扫描器呗
|
 |
meteora0tkvoDec 8, 2025
25
应该是某个程序员意外发现的，然后在黑客论坛传开了
|
 |
54xavierDec 8, 2025
26
各种扫，用了 fail2ban 好点儿了
 |
 |
muamDec 8, 2025
27
只能说你对这个产业链完全不了解，我 07 年 15 岁，在暗组 看雪那些论坛玩的时候，qq 群上已经有 12 岁就开始抓鸡的脚本小子，当年搞免杀 过驱动 灰鸽子抓鸡，都已经被人玩烂大街了，这个领域有巨量的人，且门槛极低，poc 上网一找一大把，从业人员巨多，ddos 都已经是一门生意了
|
 |
liyafe1997Dec 8, 2025
28
扫描整个 IPv4 空间的成本比你想象的要低
|
 |
EZG997Dec 8, 2025
29
说个题外话，慎用非开源的、所谓的破解版、免费版、修改版，不然很大概率会成为肉鸡。
|
|
E263AFF275EE4117Dec 8, 2025
30
@workshop 卧槽，那我应该怎么搞啊！
|
 |
32
@bbbblue #19 用 cf 可以从 cf 拿一个源站证书。这个证书是 cf 自己签的，不是公共 CA ，浏览器不信任，所以不用证书透明度。
cf 仅在回源的时候会信任这个证书 |
 |
RandomJokeDec 8, 2025
33
@sk217 太对了，我高中就在玩肉鸡了。。。随便学点就能入门了，那会网络安全还不被重视，免杀之类的很简单。
|
 |
gether1nerDec 8, 2025
34
可以买腾讯云主机安全产品，现在还有折扣的。我是代理商，有需要可以联系我
|
|
RandomJokeDec 8, 2025
35
你家里整个外网 IP 开放 22 端口，一天能给你扫不知道多少回
|
|
36
@54xavier #26 不建议 fail2ban ，fail2ban 需要先 fail 才 ban 。人家搞个 IP 池就绕过了。
如果是 HTTP 服务器，比如 Nginx ，可以设置一个空的 default_server ，直接 return 444 。这样任何不带域名的或者域名不对的请求都会直接断开连接。 如果是用 CDN 的网站，那直接配置防火墙屏蔽非 CDN 的 IP 就行。 如果是挂 cloudflare ，推荐 cf tunnel ，不需要开任何入站端口。我在 azure 上的 VPS 就直接没买公网 IP ，省了 IP 费用。出站连接有免费的出口 IP 可以用。 |
 |
bsderDec 8, 2025
37
cloudfalre 好像说部署了拦截这个 cve 的 waf rule 啊？ 还能被黑？
|
|
muamDec 8, 2025
38
@RandomJoke #33 是的，除了二进制的 poc 要搞加密解密，套了几层虚拟机，别的脚本类 web 仔 基本上没啥门槛，都是拿现成的工具 改改，直接抓鸡
|
 |
frankiesDec 8, 2025
39
都不用自己扫，fofa 、钟馗之眼这些数据库天天扫全网，自动筛选出来定向爆破就行了
|
 |
OHYOLODec 9, 2025
41
不是你这个头像...哈哈哈
|
 |
edisonwongDec 9, 2025
42
以前有个钟馗之眼，随便找个 ip 进去都能试试看到别人家的监控...
|
 |
whileFalseDec 9, 2025
43
全网 IPv4 只有 40 亿个而已。
|
1
Select Language