我为什么不用 NAS？飞牛 0Day漏洞思考

飞牛NAS爆出的0Day漏洞，揭示了专用存储设备在架构上的普遍安全风险。当系统将多种服务集于一体并长期暴露于公网时，攻击便可能防不胜防。这一事件促使我们重新审视个人数据存储方案，探讨在追求便捷的同时，如何构建更坚固的安全防线，并思考是否存在更稳妥的选择。

智能速览

• 飞牛NAS存在高危0Day漏洞，用户需立即升级。

• NAS系统因架构复杂且长期联网，天然易受攻击。

• 历史表明，主流NAS品牌均出现过严重安全漏洞。

• 内网穿透无法根除0Day风险，甚至会引入新的攻击面。

• 采用Mac mini作为DAS，可利用系统级权限实现更高安全性。

精华内容

NAS的安全问题并非孤例，其根源在于系统设计。那么，除了更换设备，用户还能做些什么来规避这些潜在的巨大风险呢？

漏洞的本质

飞牛NAS此次的0Day漏洞，是一种路径穿越漏洞，攻击者可借此低成本获取服务器上的所有文件。这类问题的根源在于NAS系统的架构特性。一个NAS设备通常集成了Web管理后台、多种文件服务、用户系统以及插件生态等多种角色，并且为了易用性，常常7×24小时暴露在公网或半公网环境中。这种“万能盒子”的设计，使其成为攻击者的理想目标，0Day漏洞的出现只是时间问题。

风险的普遍性

这种安全风险并非飞牛独有，而是整个NAS品类的通病。回顾历史，群晖的Web Station和Photo Station曾多次出现远程代码执行漏洞（RCE）；威联通也曾遭遇过大规模的勒索软件事件，如Qlocker和DeadBolt；Asustor的ADM系统以及TrueNAS SCALE都存在过被利用的高危漏洞。对于飞牛这类新兴品牌，由于安全团队规模、历史代码审计充分性等因素，其面临的风险可能更高，更容易出现因设计疏忽导致的“逻辑型0Day”。

穿透的误区

许多用户认为，只要不开放公网端口，仅使用内网穿透或厂商的云服务访问，就能保证安全。然而，这是一种误解。内网穿透只是改变了流量的路径，并未消除NAS自身的攻击面。如果Web应用层存在漏洞，无论请求是通过直连、反向隧道还是云转发，攻击依然能够成功触发。此外，依赖厂商的云服务还会引入新的攻击面，例如本次飞牛漏洞就被利用了其官方映射服务进行批量扫描，加剧了危害。

安全的替代

一个更安全的思路是采用DAS（直连式存储），例如将磁盘阵列连接到一台Mac mini上，再通过开启系统级的文件共享服务（如WebDAV）来满足外部访问需求。这种方案的核心优势在于权限模型的差异。macOS的WebDAV服务受系统完整性保护（SIP）、透明度与同意（TCC）和沙盒机制的多重约束，文件访问遵循严格的POSIX权限边界。即便WebDAV服务被攻破，攻击者的权限也被牢牢限制在特定目录内，无法像NAS那样因Web后台高权限运行而导致全盘沦陷。

回归需求本质

提出DAS方案并非意图“反NAS”，而是提供一种回归本质的思考。对于多数个人或家庭用户而言，成品NAS强大的插件生态和复杂功能，往往是为了满足“折腾”的乐趣，而非真实的刚需。许多场景下，几块移动硬盘或简单的云服务已能满足备份和共享需求。如果确实需要类似NAS的功能，利用现有设备（如闲置电脑）搭建一个功能专一的服务，或许比一个功能繁复、暴露面庞大的“玩具”盒子更为安全可控。

飞牛NAS事件为所有个人用户敲响了警钟，数据安全绝非小事。在功能与便利的诱惑下，回归自身真实需求，选择更保守、更可控的方案，或许是保护数字资产的明智之举。你的数据，真的需要一台功能繁复的NAS来承载吗？