主 题：拼私家车还需谨慎！在论坛拼的英国家宽，第一次被盗改密没生效、彻底重建后第三天，又整台不是我的了
发 布 者：沐初
标签分类： 日常
时 间：2026-11-01 20:56:22
内容预览：先说清楚，muse帮我写的文章，因为比较长事情经过如下，我从ns论坛里卖家那里买的英国BT动态家宽Nat，月115rmb，经历了「出厂全网同一个初始密码 → 被陌生人登进来当自己的机器用，创建了一堆服务 → 跟卖家联系后未处理 → 我改了密码又被改回默认密码 → 10月29日彻底清盘重建、只留我自己的密钥 → 10月31日晚机器上多出一个不是我的新服务 → 11月1日节点失效，密码和密钥全部登不进去，连机器的SSH主机指纹都变了」。第一次被盗（10 月）机器交付时root就是卖家的初始密码。后来我才知道他卖的所有机器初始密码都是同一个，而我当时以为是随机密码，没有改。10月6日，三个陌生IP先后成功用root登进我的机器（系统日志实证）：10 月 6 日 09:28，78.10*.*.，root 登录成功10 月 6 日 09:38，103.9*.*.，root 登录成功10 月 6 日 09:45，209.24*.*.，root 登录成功之后这台机就成了人家的：我自己搭节点的脚本不见了，多出一个监听 23396 端口的 SOCKS5 代理（带账号密码，不是无-auth 的那种），还有一个 x-ui 面板（端口 38714）和另一个人在上面搭的节点（端口 17518）。我自己从头到尾只装过一个节点，这些都不是我的。10月11日我发现节点超时、登进去才发现上述情况，当场联系了卖家。卖家问我改没改初始密码，又说他所有机器初始密码都一样，最后结论是「那就是被别人登录了」。那天之后我改了密码。但后来查明，那次改完了密码不知道啥时候又被改回默认的初始密码了。10月29日我让muse做全盘审计时，root依然是卖家那个全网统一的初始密码——也就是说，从10月11日到29日，我以为上了锁的门，其实一直大开着。10月29日彻底重建29日凌晨muse把这台机全清重建：删掉SOCKS5、x-u
直达链接： https://www.nodeseek.com/post-1024600-1
发 布 者：沐初
标签分类： 日常
时 间：2026-11-01 20:56:22
内容预览：先说清楚，muse帮我写的文章，因为比较长事情经过如下，我从ns论坛里卖家那里买的英国BT动态家宽Nat，月115rmb，经历了「出厂全网同一个初始密码 → 被陌生人登进来当自己的机器用，创建了一堆服务 → 跟卖家联系后未处理 → 我改了密码又被改回默认密码 → 10月29日彻底清盘重建、只留我自己的密钥 → 10月31日晚机器上多出一个不是我的新服务 → 11月1日节点失效，密码和密钥全部登不进去，连机器的SSH主机指纹都变了」。第一次被盗（10 月）机器交付时root就是卖家的初始密码。后来我才知道他卖的所有机器初始密码都是同一个，而我当时以为是随机密码，没有改。10月6日，三个陌生IP先后成功用root登进我的机器（系统日志实证）：10 月 6 日 09:28，78.10*.*.，root 登录成功10 月 6 日 09:38，103.9*.*.，root 登录成功10 月 6 日 09:45，209.24*.*.，root 登录成功之后这台机就成了人家的：我自己搭节点的脚本不见了，多出一个监听 23396 端口的 SOCKS5 代理（带账号密码，不是无-auth 的那种），还有一个 x-ui 面板（端口 38714）和另一个人在上面搭的节点（端口 17518）。我自己从头到尾只装过一个节点，这些都不是我的。10月11日我发现节点超时、登进去才发现上述情况，当场联系了卖家。卖家问我改没改初始密码，又说他所有机器初始密码都一样，最后结论是「那就是被别人登录了」。那天之后我改了密码。但后来查明，那次改完了密码不知道啥时候又被改回默认的初始密码了。10月29日我让muse做全盘审计时，root依然是卖家那个全网统一的初始密码——也就是说，从10月11日到29日，我以为上了锁的门，其实一直大开着。10月29日彻底重建29日凌晨muse把这台机全清重建：删掉SOCKS5、x-u
直达链接： https://www.nodeseek.com/post-1024600-1
