飞牛NAS近期安全事件复盘：别让你的数据成为“公开的秘密”

• 一、 发生了什么？一次“定向打击”的安全危机
• 二、 漏洞根源：当“家庭服务器”遭遇“专业攻击”
• 三、 核心防御：开启防火墙，只允许国内IP访问
• 四、 其他必做的安全加固措施
• 五、 结语

本文首发地址 https://h89.cn/archives/518.html

近期，对于广大的飞牛（fnOS）用户来说，无疑是一场“安全大考”。从1月底开始，飞牛系统被曝出的路径穿越漏洞和后续的0Day漏洞风波，让无数将NAS暴露在公网的用户惊出一身冷汗。今天，我们就来复盘一下这次事件，并聊聊如何用最简单有效的方法——开启防火墙并限制国内IP访问，来给你的NAS穿上“防弹衣”。

一、 发生了什么？一次“定向打击”的安全危机

2026年1月底至2月初，飞牛fnOS成为黑客的定向攻击目标。首先被曝出的是高危路径穿越漏洞，攻击者无需登录，仅通过构造特殊请求（如包含 ../ 的URL），就能绕过限制，读取系统上的任意文件，包括系统配置和用户隐私数据。

更棘手的是，这波攻击呈现出高度组织化的特点。在官方紧急推送1.1.18版本修复补丁后，攻击者迅速针对OTA升级机制实施了对抗性升级，衍生出多个病毒变种，甚至篡改了部分设备的系统更新服务，导致用户无法正常接收修复补丁。一时间，大量公网上的飞牛设备面临被植入挖矿木马、沦为“肉鸡”的风险。

二、 漏洞根源：当“家庭服务器”遭遇“专业攻击”

为什么这次漏洞影响如此之大？根本原因在于，很多用户把NAS当成了即插即用的“智能路由器”，而忽略了它本质上是一台 7×24小时运行的Linux服务器。

飞牛OS虽然功能强大且免费，但很多家庭用户在开启公网访问（DDNS）以便在外网访问NAS时，直接暴露了系统的原始服务端口（如5666、8000等），且未做任何访问控制。这就好比你把家里的房门钥匙挂在了门口，只等有心人自取。

三、 核心防御：开启防火墙，只允许国内IP访问

在官方给出的诸多安全建议中，有一条既高效又易于操作的措施被反复提及：切勿直接暴露端口，必须启用访问控制，建议仅允许中国区域IP访问。

为什么这条策略能大大增加安全性？
因为根据大量安全日志分析，针对家用NAS的扫描和攻击流量，绝大多数来自境外IP。对于绝大多数普通中国家庭用户而言，根本不存在来自国外的合法访问需求。因此，在防火墙层面直接“一刀切”，阻断所有国外IP的入站流量，相当于直接过滤掉了99%的恶意扫描，让黑客根本摸不到你的家门。

如何在飞牛OS中设置“仅允许国内IP”？你可以通过两种方式实现这一策略，建议组合使用效果更佳。
方案一：利用飞牛OS自带防火墙（适合小白）
飞牛OS在【设置】-【安全性】-【防火墙】中提供了基础的入站规则管理。

1. 开启防火墙：首先确保防火墙开关处于开启状态。
2. 设置默认策略：点击【入站规则】-【编辑】，将“若上述规则均不符合时”的策略从默认的“允许访问”改为“拒绝访问”。这意味着，除了你明确放行的流量，其他的一律禁止。
3. 新增允许规则：
   • 放行局域网：新增一条规则，端口范围 1-65535，来源IP填写你的局域网段（如 192.168.0.0/16），确保你在家能正常使用。
   • 放行特定端口（仅限国内）：这是最关键的一步。点击【新增一条】，协议选择【全部TCP】，端口填写你准备对外暴露的端口（例如Lucky的反代端口 36237）。在【来源IP】选项中，手动选择或输入国内IP地址段（由于IP段较长，通常飞牛官方会预设或支持导入CIDR列表）。备注“仅国内访问”。

方案二：使用Lucky等反代工具进行IP过滤（更推荐）
如果你已经安装了Lucky来做DDNS和反向代理，那么配置更灵活。

1. 修改飞牛防火墙：首先在飞牛防火墙中，只开放一个高范围的端口（如 36237），来源IP可以暂设为“全部”，但确保这个端口只指向Lucky。
2. 配置Lucky IP过滤：
   • 进入Lucky管理页面，找到【IP过滤】-【添加IP过滤规则】。
   • 查询并填入最新的国内IPv6地址段（如果使用公网IPv6）。
   • 回到【Web服务】的反代规则中，开启【IP过滤】并选择刚才创建的白名单规则，模式设为【白名单】。
   • 这样一来，所有流量必须先经过Lucky的IP地理防火墙过滤，只有来自中国的IP才能被转发到飞牛的内网页面。

四、 其他必做的安全加固措施

除了上述的“IP白名单”策略，结合这次事件，建议你立刻检查以下几项：

1. 立即升级系统：确保你的飞牛OS已经升级到最新的 1.1.18或更高版本，官方已在后续版本中修复了已知的路径穿越和远程代码执行漏洞。如果无法OTA升级，建议下载完整镜像进行修复性重装（数据不会丢失）。
2. 禁用不必要的服务：暂时关闭 fnConnect 远程访问功能，待确认安全后再启用。同时，不用的SSH服务也建议关闭。
3. 启用双重认证（2FA）：为你的飞牛账号和重要应用开启双重认证，即使密码泄露，攻击者也无法登录。
4. 改变默认端口：如果必须直连（极度不推荐），请修改飞牛的默认HTTP/HTTPS端口（如5667），改为其他不连续的端口，以规避基础扫描。
5. 开启WAF：如果你使用了Lucky，可以按需启用其自带的Coraza WAF，能有效拦截路径穿越等Web攻击载荷。

五、 结语

数据一旦泄露，是任何补丁都找不回来的。飞牛的这次安全事件给所有NAS用户敲响了警钟：NAS不是即插即用的玩具，而是需要精心维护的私人服务器。

“开启防火墙，只允许国内IP访问” 这一看似简单的操作，却能成为抵挡境外黑客洪流最坚实的堤坝。在这个攻击手段日益复杂的时代，多一份谨慎，你的数字资产就多一份保障。希望你能花半小时时间，按照上述步骤检查并加固你的飞牛NAS，别让你的数据成为网络公海的“漂流瓶”。