@WhatTheBridgeSay 改端口号确实理论上来说可以减小攻击面，但我不认可这个方法，因为很多常用服务的端口号都是固定的，为什么 3389 不行？按照这个逻辑来说，那貌似我们互联网的各种 https 都应该是随机端口号，而不是固定的 443 。

如果说存在某个漏洞是由于 3389 这个数字导致触发了什么奇奇怪怪的溢出之类的原因要改掉 3389 ，这个是可以接受的。

@msg7086 我说的是个人的机器，包括但不限于自己的 vm ，家里直接端口转发的 3389 ，并不是指企业和商用。

你所说的三个 你当然可以说 并不适合这个场景，因为那是人的失误，不可避免的。你可以把你的电脑每年看看是不是已经 eol ，一年 365 天都可以去做，但你不能说你两三年都忘记更新系统打补丁吧？至于期间有几个月忘记也无所谓，因为新版本的发布和上一版本系统 eol 还是有很久的。

@ysc3839 #26 2019 算啥现代啊，官方都 eol 了，现在只有扩展支持

@msg7086 #7 再说，你一台机器，都 eol 了不升级不更新不打补丁，那我还能说什么？我可以半年不更新系统，但不可能一个 iso 用两三年。

@flynaj #12 这无所谓吧，我这个就是默认的 3389 没有改，我的其他机器也是，从没有改过，相安无事。消耗资源的问题也没有那么明显，如果不是刻意去查，完全无感。如果连接数量到一定级别，那就是 dos 或者 ddos 了吧，这东西 80 443 也扛不住，不算是安全漏洞。

@adoal #10 企业和 zf 换不掉旧机器这我知道，限制太多，不是想换就换的。

个人用户开 rdp 被黑，如果密码没有问题，系统也没到 eol ，我想不出为什么会被黑，不是很理解。。。所以想试试是否真的 rdp 本身有问题。

如果我这个是安全的，那就好说了，使用没有问题的密码+没到 eol 的系统，保证这两点，就不用担心了。至于第三方软件，这东西鬼说的准。但至少 rdp 默认设置作为 Windows 远程的方式是没有问题的。

@msg7086 #7 机器开两三年让别人造不是问题，问题在于机器不免费啊。。。

@llcczz #6

我也这么想的，应该和 rdp 没什么关系，但本帖只讨论 rdp 本身的问题。

@luxor 我可没说对方要告诉我方法才能拿到礼品卡哦

@llcczz 很多人觉得 rdp 本身不安全，并不只是弱密码的问题（我也觉得只要密码没有问题就不太可能进来，所以才想让他们试试）

@luoyide2010 减少攻击面在这场景下用处不大，反而麻烦；总不能说为了减少攻击面，把所有端口都打乱吧。。。

setfacl -Rm u:nginx-user:r /path/of/certs
setfacl -Rm u:petter:rw /path/of/certs
setfacl -dm u:nginx-user:r /path/of/certs
setfacl -dm u:petter:rw /path/of/certs


setfacl -Rm u:nginx-user:x /path
setfacl -Rm u:petter:rx /path

setfacl -Rm u:nginx-user:x /path/of
setfacl -Rm u:petter:rx /path/of


# 解释说明： 第一组的四条分别设置 nginx-user 允许读取权限，petter 允许 rw ，新的文件默认也遵循前两条；第二和第三组允许俩用户进入证书所在的父目录。

注意：nginx-user 只是一个名字，可以直接设置 nginx 运行的 uid ，权限也设置成相同 uid 就好，比如 setfacl -Rm u:81:r /path/of/certs

usb 设备本身设计就是支持热插拔的。。

@kenneth104 #22 ddos 是攻击，这东西无论什么端口都能被 d ，包括 80 443 ，照这么说机器都别放互联网了，都有可能被 dd 的。。。

@lambdaq #11 我的好多台机器，有 ssh 有 rdp ，默认配置，强密码，至少五六年了，从没有出过问题

@uuair #12

1. 和前段时间爆出的搜狗输入法 bug 类似，那是第三方软件的锅，和 rdp 有什么关系。

2. 那漏洞都多少年前了，用不在支持范围的系统能怪谁。。。

@jhytxy #6 请具体列出 CVE 号码。我们公司也因为漏洞而升级 openssh ，恰好上月就升过，也看了漏洞详情，但就像我说的，这些漏洞的使用都有前置条件，即便满足了前置条件也做不到直接登录机器，更多的是某些加密算法强度不能满足现代化要求，又或者有机会出现中间人攻击。



@ysc3839 #7 这是 2019 年的漏洞，距离现在已经五六年了，对应 Windows 10 version 1909 ，该版本在 2021 年已经停止支持。如果现在还有人在用不受支持的 windows 远古版本，那我还能说啥？目前消费级系统里，受支持的系统为 Windows 11 version 23H2 ，如果你升级到了受支持的系统还有这漏洞，那当我什么都没说。

https://i.imgur.com/ARf6fGw.png

@uuair #2 日志还好吧，好几年也没上 GB

“而且，谁说自己的密码肯定没问题呢？”

想要确认自己的密码是否安全，chrome 就可以告诉你使用的密码是否有泄露。

“你 20 位特别复杂的密码，也可能因为漏洞被扫出来啊”

请举例哪些是密码设置了很复杂，系统不是古董，但由于漏洞被拿到登录权限的？

@TossPig

==== 根据最新文件，必须使用国产化系统，禁止 Liunx 、Ubantu 、redhat 等国外操作系统

想问下，可否提供这个文件的出处？在国资委官网找了一圈没找到。。。

@vanchKong #11 写太多容易被周边认出来咩。。。