飞牛的影响面比想象的大很多

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› RANDOM.org 密码生成器

› uBlock

› Authy

› LastPass

› FreebuF.com

› Beebeeto

› Dashlane 密码管理器

从 30 号的这个帖子开始 https://www.v2ex.com/t/1189392 到今天，已经三四天的时间了，现在随便一搜，仍然有二十多万的资产暴露在公网，试了两百个，一半多可访问，32 个未升级到最新版本，存在路径穿越漏洞。

如果说这些用户存的就是些片子也就罢了，但是很多都是用来备份自己手机电脑的，里面的文档不少都是个人隐私，各种证件、资料。

去年不是计算机行业的朋友想折腾 NAS ，我推荐了群晖和飞牛，后面他没买硬件就涨价了，也就没折腾。我个人猜测，飞牛的大多数用户都是和我这个朋友类似的，第一次接触 NAS 的小白，他们不知道网络安全，也不知道暴露在公网意味着什么。查了下，广州铁刃智造技术有限公司成立于 23 年，这两年正是硬件便宜的时候，对于这些用户来说，NAS 比网盘便宜，可以备份各种设备的数据，还能看看片，就足够了。

现在出了这种级别的事故，官方的种种措辞还是遮遮掩掩，懂的人知道严重性，但大部分小白用户可能一点也意识不到，即便现在官方关闭了未升级的用户的内网穿透，作用也是有限的。这些用户脑子里是缺少安全意识的，只会照着教程一步一步做，并不能理解每一步的含义（回想我刚接触的时候也是如此），所以官方的指南是非常非常重要的。

以后飞牛在我这里是被拉入永久黑名单了，我觉得无关乎国产与否，任何品牌这么搞都是自寻死路。

飞牛

安全

用户

89 条回复 • 2026-02-03 16:52:23 +08:00

jpyl0423

5 小时 46 分钟前

小事捂成大事，做对一步都不会变成今天这样

glacer

5 小时 39 分钟前

不是说昨晚把所有未升级版本的中继服务都停掉了？怎么还能连上

unusualcat

5 小时 39 分钟前

捂盖子这种操作真.一脉相承

EyebrowsWhite

5 小时 37 分钟前

@glacer 官方的中继只是其中一种访问方式而已，而且我相信只是小部分

iorilu

5 小时 35 分钟前

这种估计国外公司一夜就倒闭了

jacketma

5 小时 32 分钟前

是不是飞牛官方没有能力判断 fn connect 的客户端用户是否升级了新版本？
这个时候，如果一刀切断掉 fn connect 功能，导致已经升级的用户也用不了这个功能，全面瘫痪。
所以，现在官方就只是装死，让那些老版本用户等着被入侵，或者自己主动升级。

Mithril

5 小时 31 分钟前

这种级别的漏洞这么搞，作为一个私有存储产品直接上黑名单就行了。

和小米路由用 mimt 在 http 请求里面插广告一样，属于整个团队三观都有问题，从根子上就烂了。它根本没有意识到自己在做什么，一点安全意识都没有。根本也不在乎用户的数据安全。

这团队压根就不适合做这种产品。

yuwancumian27149

5 小时 27 分钟前

我个人猜测，飞牛的大多数用户都是和我这个朋友类似的，第一次接触 NAS 的小白，他们不知道网络安全，也不知道暴露在公网意味着什么。
up 为什么会有这种离奇的想法？？？

leang521

5 小时 24 分钟前

所以我建议搞一个带 VPN 的浏览器来解决这个问题还招一堆人反对。大部分人都不清楚用户到底需要什么

https://v2ex.com/t/1190213

dilidilid

5 小时 23 分钟前

@iorilu 在欧美吃诉讼吃到饱（ FNC 很多可是付费用户，再加上飞牛硬件的用户），直接可以准备破产清算了。也就在东大可以捂盖子装作无事发生，就这还很多人觉得大家太过苛责了呢。

@jacketma 显然官方是能判断的，后来的解决方案就是 FNC 断开没升级到最新版本的飞牛终端。之前为什么拖了这么久不行动原因就不得而知了

qiyilai

5 小时 21 分钟前

结合以前的讨论帖子看，nas 唯一选择就是群晖了

geniussoft

5 小时 20 分钟前 via iPhone

群晖为什么有恃无恐，原因就在这里了

adminpro

5 小时 20 分钟前

很烦这种，不想用就别用，飞牛收你钱了？逼你用了？还是怎么着？？？你既然选择免得产品，安全性你自己把握。

Ketteiron

5 小时 19 分钟前

一、用户根本不知道漏洞，并且相信官方会妥善处理好漏洞。
二、没有强制升级，很多人会选择停留在旧版本。
三、通过查杀病毒升级到新版本的系统，依然无法杀干净潜在恶意文件，除非重装系统。
四、即使是目前最新的系统，依然存在鉴权漏洞。

草台班子就是这样的，没能力负责用户的安全问题，不知道一行弱智代码会产生什么样的破坏性。

EyebrowsWhite

5 小时 18 分钟前

@yuwancumian27149 主要基于两个点：
一是 23 、24 年那会儿极空间、绿联等国产 NAS 火爆，吸引了相当多的小白入坑
二是我很不道德的浏览了几个用户的目录

Miary

5 小时 15 分钟前

建议学习群晖，几次重大漏洞都是在被完全曝光前推送安全补丁，然后再冷处理应对舆情，没有造成这么大面积影响。

qqjt

5 小时 13 分钟前

@adminpro 无语，这是收没收钱的事吗？另外飞牛的配套硬件还有会员服务是要钱的

liuzimin

5 小时 13 分钟前

放心吧，互联网没有记忆。
过几个月后，飞牛 NAS 一样卖爆、生意兴隆、马年吉祥马上发财。

Rickkkkkkk

5 小时 13 分钟前

哈哈，还好漏洞和别动东西不一样，让人闭嘴问题并不会消失。

ala2008

5 小时 12 分钟前

飞牛和七牛有什么关系

Ketteiron

5 小时 11 分钟前

@adminpro #13 这次漏洞的最大受害者是开启了飞牛推荐的外网访问方式 FN Connect ，这 tm 是收费项目，那些免费白嫖的都没中招。

minami

5 小时 10 分钟前

@adminpro 你是利益相关方？怎么还急了😅

kulove

5 小时 9 分钟前 via Android

@adminpro 喷之前记得看下前因后果谢谢不然只会让人觉得你是个

ytmsdy

5 小时 9 分钟前

群辉贵是有贵的道理的！
上网这么多年，国内软件公司的尿性你们又不是不知道。

GoldenSheep

5 小时 6 分钟前

听说有公安用这玩意然后漏了内部数据

dilidilid

4 小时 59 分钟前

@adminpro 你别说，飞牛还真收钱了。而且你这种说法比我们批评飞牛的用户还要刻薄，我们是把飞牛作为一家正经的商业公司对待的，你的说法等于是说，飞牛这玩意儿就不配收钱，飞牛老板听到怕是得气死

xixka

4 小时 59 分钟前

这下真就，免费的才是最贵的，数据随便被人看

Hephaistos

4 小时 45 分钟前

乐了，商业公司产品安全性靠用户自学……
fn 之前在 V2EX 投推广的时候是不是也不是这些账号

Hephaistos

4 小时 44 分钟前

@Miary 他们学的会么，这次的路径穿透用户报给他们一个多月了，修都懒得修

Aixtuz

4 小时 41 分钟前

“态度”没问题的时候，我才可能原谅对方“菜”。
态度有问题，啥都别说了，拜拜。

yrom

4 小时 38 分钟前

当时还想买来玩的…还好

shuiduoduo

4 小时 32 分钟前

@adminpro 粉红
fn-connect 算是付费吗？

loading

4 小时 28 分钟前 via Android

白群用户路过关心一下。

unused

4 小时 26 分钟前

好像官方至今没有提醒用户对可能的信息泄露采取补救措施，坐等一波账号、钱包资产被盗。

wangritian

4 小时 20 分钟前

可以容忍漏洞，没法容忍把用户当傻逼一样忽悠

catazshadow

4 小时 11 分钟前

@adminpro Linux 免费，是不是所有的内核漏洞都要自己发掘自己打补丁啊？？？？？？？？？？

felixcode

4 小时 2 分钟前

安全团队可以裁员，法务团队开始招聘。

Huelse

3 小时 42 分钟前

@Hephaistos #29 这确实该死，都已经提前报告了

keyu1103

3 小时 35 分钟前

@adminpro fnconnect 我是交了钱的，对于飞牛和零刻的联名硬件产品我也买了，我算是付费用户。飞牛的问题不在于技术能力不足，而是作为一个跟数据打交道的公司，对数据安全没有概念，这种高危问题的处置方式让人没办法信任。

duanxianze

3 小时 30 分钟前

本人也是飞牛用户，并不认同此观点，小白用户就应该自己承担风险，五五分，同责吧

nuomi196500

3 小时 25 分钟前

以前用过某国产 NAS ，用自己的账号密码登录网页版却进入了别人的账号，竟然可以随意浏览和操作，安全漏洞相当大，那以后再也没用过任何 NAS ，都是存本地硬盘

JoveYu

3 小时 24 分钟前

没有付费，就没有人有义务提供安全更新，毕竟免费使用，修漏洞是情分，不修是本分把。
但是如果你付了费，请往死里喷。不用客气。

docx

3 小时 23 分钟前 via iPhone

经典的小问题没当回事，甚至遮遮掩掩，后面火烧得太大以至于捂不住了

Kirkcong

3 小时 20 分钟前

@JoveYu 免费使用的人也为官方贡献了日活，用户数，测试数据。我们也不知道 12 月份提出来路径穿越漏洞的那位是否有付费，但我们肯定知道，这个漏洞是应该修的，无关你是否付费。

deplives

3 小时 8 分钟前

@adminpro 看的出来，这是个真 xx

WebKit

3 小时 4 分钟前

@glacer #2 只要能访问到登录界面就会存在这个问题，在 fofa 搜索一下，能发现 20 多万的设备

WhaleFall2020

3 小时 2 分钟前

@yuwancumian27149

3 小时 0 分钟前

@GoldenSheep 必然是假的。内网不会用肥牛，外网不会存数据。

safari9

2 小时 57 分钟前

免费，爱用的有福了

biaoge123

2 小时 51 分钟前

之前看见个帖子说还能看见助记词啥的还能把 bit 的密码全导出可怕

drlee

2 小时 45 分钟前

@Mithril 小米路由还有这么烂无底线的事？

MiKing233

2 小时 38 分钟前

@adminpro 很难想象 v 站也有你这样的人, 不知道的还以为微信公众号的精选评论

y1y1

2 小时 37 分钟前

@felixcode 反转了，根本没有安全团队

EyebrowsWhite

2 小时 35 分钟前

@duanxianze
@JoveYu
这件事情还没到划分责任的时候，当然，如果真要追责，那么个人用户无论是否付费使用了 FN Connect ，大概率零赔付，最多给你退款。要喷飞牛的点是，团队安全意识差，认错态度差，当鸵鸟，遮掩事实，让损失扩大化。

https://www.fnnas.com/terms
https://www.fnnas.com/terms-of-fn-connect

我截取两段：

在法律允许的范围内，铁刃对许可软件或许可软件中包含的产品、服务或相关图形的适用性、可靠性、可用性、及时性、无病毒或其他有害内容或信息的正确性不作任何保证或声明。所有此类信息、许可软件、产品、服务和相关图形均“按原样”提供，不作任何形式的保证。铁刃特此排除与此信息、许可软件、产品、服务和相关图形等相关的所有明示或暗示的保证和条件，包括适销性、特定用途的适用性、技术专长、专有权利和非侵犯他人权利和相关法规等。在任何情况下，对于因许可软件的使用、性能或正确性或不正确性以及延迟或无法使用许可软件而引起的任何直接、间接、惩罚性、附带、特殊或继发性损害、使用损失、数据损失或利润损失或任何其他损失，铁刃均概不负责，即使此类损失的可能性是可以预见的。

您完全理解并同意，本产品的使用涉及到互联网及移动通讯等服务，可能会受到各个环节不稳定因素的影响。因此任何因不可抗力、计算机病毒或黑客攻击、系统不稳定、用户所在位置、用户关机、GSM 网络、互联网络、通信线路等其他我们无法预测或控制的原因，造成的软件服务中断、取消或终止的风险，由此给您带来的损失我们不承担赔偿责任。