最近的 QNAP NAS 爆發 Qlocker 勒索病毒的攻擊

QNAP 威聯通科技，為一間台灣的跨國科技公司，主要產品有網路儲存裝置（NAS）及視訊監控錄影系統，近年亦跨足儲存區域網路（SAN）及網路通訊設備市場，推出網路交換器及 Wi-Fi 路由器等，競爭對手是同樣來自台灣的 Synology 群暉，主要差異在系統軟體跟硬體界面的設計考量。

近期比較著名的事件，在 2021 年 4 月 19 日起有用戶回報遭到 Qlocker 勒索病毒的攻擊，受害者數量快速增加，世界各國陸續傳出災情。該產品的漏洞允許任意人士取得完整的存取權限，並可在 NAS 上執行任意軟體，使用者的裝置一旦感染，首先快照都會被刪除，所有檔案會被惡意軟體使用 7zip 壓縮並加上密碼保護。而當 Qlocker 完成壓縮後，用戶的 NAS 中便會出現一個顯示「!!!READ_ME.txt」的未加密文字檔，內文即是威脅用戶付出 0.01 枚比特幣的贖金，以取得解壓縮用的密碼。

駭客以往都鎖定知名企業進行大金額的勒索，這次 Qlocker 鎖定大量較無資安觀念的一般用戶，要求小額的贖金也成功大賺一筆。

若尚未被感染，請儘速更新QTS版本，若勒索病毒正在加密檔案切勿重新開機、請立即安裝並使用最新版 Malware Remover 進行惡意軟體掃描、並聯繫 QNAP 技術支援單位 (https://service.qnap.com/) 取得協助。

若檔案已被加密，且曾重開機，按照網友們的回饋，官方目前也無法協助救回檔案，僅能等待後續是否會出現解密工具，萬不得已才支付贖金以取得解壓縮密碼。

針對讓 QNAP NAS 直接連接到網際網路的個別使用者，官方強烈建議採取以下步驟，以確保連線安全：

網路連線明明是通的，為什麼網頁都打不開呢？

同事休假幾天回來發現網頁打不開，不能連線的狀況分很多種，有的是網路線/卡或 Hub 硬體故障，有些是軟體或 IP 相衝或 DNS 設定跑掉，經檢查 ping 外連線正常，重開機後狀況仍舊，執行 netsh winsock reset 指令後就恢復了，該指令需要 Administrator 權限，有些網路程式及不明原因會動到 winsock，因而造成連線異常。

遇到不明情況時，最好先看一下事件檢視器有無紀錄到異常。

常用的第二個指令是 netsh int ip reset，tcp/ip 堆疊異常時，也會造成網路無法連線，所以有時覺得網路很慢，或經常無法正確連線時，可以試試重置上面二個指令。

另外有個指令在網卡取不到正確 ip 時也可嘗試：
ipconfig /release 釋放取得的 ip位址
ipconfig /renew 重新取得

檢查電腦有無中毒常用 netstat 指令來查看連線狀態

除了 ping 和 tracert 指令，netstat 也是很常用到的指令，搭配 TCPView 可看得更清楚。

NETSTAT [-a] [-b] [-e] [-f] [-n] [-o] [-p proto] [-r] [-s] [-t] [interval]

  -a  顯示所有連線和接聽連接埠。

  -b  顯示涉及建立每個連線或接聽連接埠的可執行檔。在某些情況下，已知可執行檔可主控多個獨立元件，在這些情況下，便會顯示涉及建立連線或接聽連接埠的元件順序。如此，可執行檔名稱位於底部的 [] 中，上方便是它呼叫的元件等，直到已達 TCP/IP。請注意，此選項相當耗時，而且如果您沒有足夠的權限，便會失敗。

  -e   顯示乙太網路統計資料。這可以跟 -s 選項合併使用。

  -f   顯示外部地址的完整格式的網域名稱 (FQDN)。

  -n  以數字格式顯示位址和連接埠號碼。

  -o  顯示與每個連線相關聯的擁有處理程序識別碼(PID)。

  -p proto 顯示由 proto 指定的通訊協定連線; proto可能是下列任一個: TCP、UDP、TCPv6 或 UDPv6。如果與 -s 選項搭配使用來顯示每個通訊協定的統計資料，proto 可能是下列任一個:IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 或 UDPv6。

  -r  顯示路由表。

  -s  顯示每個通訊協定的統計資料。依預設，將會顯示IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 和 UDPv6 的統計資料;-p 選項可以用來指定預設的子集。

  -t   顯示目前的連線卸載狀態。

Troubleshoot IPv6 Network Connectivity

11Step 1:

PC1>ping SRV1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 2001:DB8:0:4::30, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

[CCNA Notes 8-3] Routing Between VLANs

不同的 VLAN 間溝通的方法有 ：用 Router （1.有多個界面 2.單個界面跟做法）、L3 Switch（最常見的做法）。

1.多個界面：Router with a Separate Interface in Each VLAN

在[8-2]裡我們已經設好這兩台 Switch 及各電腦的 ip ，現在用一台 Router 來做 Routing ，因為有兩個 vlan 我們先用兩條線，不同的 vlan 的電腦請設好各自的 gateway。

SwitchA 的 fa0/23 跟 Router 的 fa0/0 規劃給 vlan 10走，SwitchA 的 fa0/24 與 Router fa0/1 給 vlan 20

Router(config)#int fa0/0
Router(config-if)#ip addr 192.168.10.254 255.255.255.0
Router(config-if)#no sh

[CCNA Notes 8-2] VLAN Connectivity

Switch(config-if)#switchport ?

  access         Set access mode characteristics of the interface
  mode           Set trunking mode of the interface
  native         Set trunking native characteristics when interface is in trunking mode
  nonegotiate    Device will not engage in negotiation protocol on this interface
  port-security  Security related command
  priority       Set appliance 802.1p priority
  trunk          Set trunking characteristics of the interface
  voice          Voice appliance attributes

SwitchA#show vlan

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                                 active    Fa0/1, Fa0/2, Fa0/3, Fa0/4
                                                                 Fa0/5, Fa0/6, Fa0/7, Fa0/8
                                                                 Fa0/9, Fa0/10, Fa0/11, Fa0/12
                                                                 Fa0/13, Fa0/14, Fa0/15, Fa0/16
                                                                 Fa0/17, Fa0/18, Fa0/19, Fa0/20
                                                                 Fa0/21, Fa0/22, Fa0/23, Fa0/24

[CCNA Notes 8-1] 在 Switch 上設定 Port-Security

公司因為資安問題限制某部門只能用內部的電腦PC0,PC1上網，MIS 必須要知道是否有違規的情形，所以在 Switch 上建立 Port-Security 規則，有人違規即刻切斷網路。

做法1：Static Learning

SiteA_SW01(config)#interface FastEthernet0/1
SiteA_SW01(config-if)#switchport mode access（只有一個Data VLAN可以流通）
SiteA_SW01(config-if)#switchport port-security (啟用)
SiteA_SW01(config-if)#switchport port-security maximum 2(看該部門該有幾台電腦數量)
SiteA_SW01(config-if)#switchport port-security mac-address 0000.1111.1111
SiteA_SW01(config-if)#switchport port-security mac-address 0000.1111.2222
(把 mac-addr 都設上去,若數量多就用 sticky 沾黏的)
SiteA_SW01(config-if)#switchport port-security violation shutdown
(violation有3種模式：
1.Protect 保護：違反擋住，合法通過
2.Restrict 限制：違反擋住，合法通過，但會送出告警
3.Shutdown：違反發生即全部擋住)

SiteA_SW01#sh port-security address

[CCNA Notes 3] OSI Physical Layer 碰撞(collision)

碰撞(collision)

兩個資料於相同的時間點上使用相同的傳輸通道來傳送，導致彼此的訊號互相干擾，因無法辨識將正確的資料傳輸給對方，均須隨機等待一段時間後再重送，資料封包碰撞愈多，網路的使用效率也隨之變差。

集線器與交換器之不同

Hub 並不會篩檢封包，它只是扮演在A、B區段間轉送封包的功能而已，故所有連接設備同屬一個碰撞領域 。

Switch 會維護一張 MAC Address Table，記錄哪個 MAC address 位於哪一區段的資料，故能分割成兩個獨立的碰撞領域。

但由於 MAC Address Table 在預設的情況下只講信任，並沒有驗證機制，連接著 Switch 的 Host 說自己是什麼 MAC Address，Switch 都會信以為真。所以理論上，Host 端可把虛假的 MAC Address 放進 Frame 裡發給 Switch，讓 Switch 把它放進 MAC Address Table 中，可達到攻擊效果，如何避免以後再談。

[CCNA Notes 1] 常見的 Cisco 網路設備模擬器

What is CCNA?
CCNA (Cisco Certified Network Associate) is a certification from Cisco, the world’s most famous company that manufactures and sells networking equipment. 其考試範圍及內容著重於現今流行的網路技術及思科系統的路由器、交換器等產品的設定、調校及故障排除。

目前比較常見的 Cisco 模擬器有 Boson NetSim、GNS3、Cisco Packet Tracer、Pearson IT Certification、EVE-NG，以下介紹如何免費取得 Cisco Packet Tarcer 的方法：

1.到思科網路學院註冊帳密：
https://www.netacad.com/courses/packet-tracer/introduction-packet-tracer
成功後去信箱啟用
親愛的 xxx，
歡迎來到 Cisco Networking Academy!   您的 NetAcad ID 是 555xxx55。  如果您已經有密碼，請訪問 www.netacad.com/login 存取您的課程。
若要啟動帳戶，請確認電子郵件地址並選取密碼：
確認電子郵件地址 >>
無論您是否總是對於科技充滿熱情，或剛開始摸索 IT 領域，不管何時起步都不嫌晚。
順頌商祺，
Cisco Networking Academy 團隊

2.下載 Cisco Packet Tracer：
https://www.netacad.com/group/offerings/packet-tracer/
目前有 Windows、Linux及行動裝置版本，就是沒 macOS 啦！所以我就得先裝一個 win 在macbook 裡面。
安裝好登入後就可以開始玩了~

Cisco IOS，跟 Apple 的 iOS 完全無關，指的是 Internetwork Operating System，為思科 Switch及 Router 上的作業系統，CLI 為 Packet Tracer 上的 Command Line Interface，大致上有5種模式:
(1)User Exec Mode(User Mode)
Router>

(2)Privilege Exec Mode(Enable Mode)
Router>en
Router#

(3)Global Configuration Mode(Config Mode)
Router#conf t
Router(config)#

(4)Interface Configuration Mode(Interface Mode)
Router(config)#int fa0/1
Router(config-if)#

(5)Line Mode
Router(config)#line vty 0 4
Router(config-line)#password 456
Router(config-line)#login

Router(config)#line console 0
Router(config-line)#password 123
Router(config-line)#login

PC0用Cross Over線接Router，採 telnet 方式連入，

PC1用console線對接，開 Terminal 方式直接進入。

如何快速得知區網內某一段 IP 範圍主機的狀態？

大家都知道 ping 是個非常好用的指令，有時想知道某網段多臺 IP 的主機是否存活，懶得一台一台 ping 時就可使用 Angry IP Scanner 這類工具，若臨時在別的地方不方便安裝時就得想其他方法，譬如簡單寫個批次檔吧!

@echo off
echo Date:%date%>>ping.txt
echo Time:%time%>>ping.txt
@for /l %%i in (110,1,180) do @ping -n 1 -w 60 192.168.1.%%i >>ping.txt
echo -------------------------------------------------------------- >>ping.txt

假設 110 為 IP 起始值，180為結束值，1 為增值，192.168.1 為其網段，將結果輸出至ping.txt 查看。

或是用 PingInfoView 這款工具來監測: