Netch S5端口2801攻击报告 20240611
内容提要
20240610晚上，我准备通过专用服务器上的Netch将流量从Alist转移到Tianyi云盘。20240611凌晨00:24，我收到了Lark上Nginx被禁用的通知，并发现服务器已重新启动。20240611凌晨00:36，Nginx再次被禁用，服务器再次重新启动。怀疑Alist和Netch之间存在流量循环冲突。经过调查发现，Netch的LAN S5和HTTP代理功能引起了问题。攻击涉及44个IP地址，其中13个有大量的TCP连接。攻击很可能是最近发生的，可能是黑市操作的一部分。攻击及其详细信息可以在https://github.com/BlueSkyXN/Comprehensive-Network-Defense/blob/master/IPs/IPs_NetchS5-2801ATK.txt找到。
延伸解读
攻击特征与流量异常
攻击导致服务器重启，Nginx被禁用。nezha探针记录到约300Mbps的上下对等带宽流量，而服务器IPv4上行仅100Mbps，实际攻击流量在300Mbps~800Mbps之间，明显超出上行限制。攻击瞬间产生5000条以上TCP连接，火绒流量管理卡死。这些特征表明攻击者可能通过IPv4连入服务器，再经IPv6发包，从而解释带宽表现。
Netch代理功能的安全隐患
Netch自带的局域网S5和HTTP代理功能在未限制外部设备联入时，可能被外部IP盗用。作者开启Netch后瞬间出现大流量，定位到该功能后，猜测被外部IP盗用S5代理。这提醒用户在使用类似代理工具时，应严格限制访问来源，避免开放代理被黑产利用。
攻击时间线与黑产推测
根据天翼网盘记录，上次使用是20240522，因此黑产活动可能发生在该日期之后。攻击涉及44个IP，其中13个有大量TCP连接，行为类似DDCC黑产，发包可能性更大。作者认为不符合爬虫或常规网络代理，应是对外发包攻击，且TCP包可能性更大。
Q&A
Netch S5端口2801攻击的主要原因是什么？
攻击主要是由于Netch的LAN S5和HTTP代理功能引起的流量循环冲突。
这次攻击涉及多少个IP地址？
此次攻击涉及44个IP地址，其中13个有大量的TCP连接。
攻击流量的带宽范围是多少？
攻击流量在300Mbps到800Mbps之间，明显高于服务器的上行带宽限制。
攻击的详细信息在哪里可以找到？
攻击的详细信息可以在指定的GitHub链接找到。
攻击发生时服务器的状态如何？
攻击发生时，服务器多次重启，并且Nginx被禁用。
攻击的性质是什么？
攻击可能是近期黑市操作的一部分，属于对外发包攻击。
