續篇：我們努力過了——請 AI 助理陪我探查舊 NAS 的真實環境
工程師思路系列・事出必有因 續篇：我們努力過了——請 AI 助理陪我探查老舊主機的真實環境 Mr. τ ｜ 風雲網通系統 ｜ 2026-10-22 昨天那篇談的是「更新不動、換機不實際、放著不管、廠商不扛」四道難題。有人問我：你說得頭頭是道，那你自己的呢？ 這篇就是交代。我沒有憑印象下結論，而是請 AI 助理陪我確認一台對外主機的實際狀況。為了不替別人提供地圖，這篇刻意不寫品牌、型號、版本、位址與路徑，只談做法和結論。 一、我是怎麼做的 流程：AI 助理擬出唯讀指令，我貼到主機上執行，再把輸出貼回去讓它判讀。它自己能做的，只有從外網做最基本的連線測試，只看回應狀態。 它一度想直接遠端登入，驗證失敗後就停手，沒有重試，也沒有猜密碼。 檢查指令本身都是唯讀的。唯一的設定變動，是我為了檢查而暫時啟用了一個高權限帳號 【請確認：檢查後是否已停用並更換密碼】。 二、查到什麼 1 平台沒有修復路徑（以我的系統版本而言）。這台機器已升到它能升的最後一版系統，而平台提供的執行環境選項，全都停在已終止支援的舊分支，沒有任何一個落在官方的修復線上。這不是我忘了更新，是平台已經沒路了。 10/23 補充：設備廠商後來針對較新的系統版本發布了 PHP 更新，所以是否有修復路徑，取決於你的系統版本；較舊或已終止支援的系統仍沒有直接的路。【請依自己實際的系統版本確認：是否在廠商更新涵蓋範圍內】 2 PHP 實際被誰用。對外的網站只用到單一一組執行環境。同一台機器上另有少數附屬套件各自帶有執行環境，網站目錄裡也堆著多年累積的舊專案與測試檔。 3 對外曝露。網站前面有 CDN，從正式網域測試未使用的管理介面，回應是找不到。但來源主機的另一個入口上，仍有一個沒在使用的管理介面入口沒有來源限制，只要有人知道來源位址就可能連到。另外，我從外網確認有少數不該公開的檔案可以直接下載。漏洞公告逼你檢查，而檢查常常先翻出自己留下的爛攤子。 4 入侵跡象。我掃描了常見的後門特徵，也檢查了使用者上傳區：沒有命中。近期被修改的程式檔，我還在確認是否都出自我自己的更新。另有少數項目因為權限問題，檢查帳號讀不到；我查了擁有者、權限和內容開頭，判斷是我自己先前測試時留下的，網站程式本身也讀不到它。 所以「沒有發現入侵證據」只涵蓋上述這幾項，不等於「沒事」。 5 順手發現的雜物。網站程式本身落後多年；附加元件很多，我還沒逐一確認哪些有啟用、哪些仍在維護；有些檔案的權限開得過寬；網站目錄裡有開發測試殘留。這些在多數老站都很常見，建議你也逐項檢查。 三、同一台機器上別的套件呢？ 給也在用類似設備的讀者：不是每個套件都共用網頁服務的 PHP。我順便查了郵件類套件：執行中的行程和相依項目裡都沒有 PHP，所以在我這台機器上看不到它們使用 PHP 的跡象。10/23 補充：廠商公告提到部分郵件類套件需要手動更新，不同廠商、不同套件的實作不同，請以自己設備的公告為準。【請確認自己使用的郵件套件是否在受影響清單內】 但有些套件會自帶獨立的執行環境，改網頁服務的設定改不到它。這只代表我這台機器，你的情況請自己查。 四、今天的新情況 ✔ 攻擊活動變多了。據報導，雲端業者的蜜罐最早在 10/17 就觀察到攻擊嘗試，PoC 公開後嘗試快速增加。相對地，資安廠商在 10/21 的報告裡寫的是尚未獨立確認有大規模利用。兩者其實只是時間差，而且講的都是「嘗試」。我仍未看到可靠證據確認有網站被成功入侵，但風險已從「可能被利用」變成「正在被大量嘗試」，所以日誌建議至少從 10/17... » read more
