【安全事故复盘】我的 Windows 虚拟机被黑了，记录一次完整的入侵经历

前天我的一台 Windows 10 虚拟机遭到入侵，今天才有空，在此记录整个事件经过和处置过程，希望对大家有所参考。

事件经过

我远程登录这台电脑时，发现屏幕上有人正在操作——黑客正在 dump（导出）浏览器中保存的密码。

由于 Windows 同一账户同一时间只能有一个人登录，于是出现了魔幻的一幕：我上线把他踢下线，他重新登录把我踢下线，就这样来回拉扯了好几次。最终我果断选择直接关机断网，终止了这场拉锯战。

事后处置

虽然不确定密码是否已被完整导出，但我按照最坏情况处理：

第一时间修改了邮箱、股票证券账户等重要网站的密码

重装了系统，彻底清除可能残留的后门

删除了 Firefox 和 Chrome 中保存的所有密码

重要账户全部开启了两步验证（2FA）

今后密码统一用自建的 Vaultwarden 管理，重要网站全部使用随机生成的强密码，不再依赖浏览器存储密码

入侵原因复盘

事后分析，这次被黑的原因非常典型，两个致命问题叠加：

问题一：RDP 暴露在公网

这台虚拟机部署在内网，通过 Xray reverse proxy 穿透到公网，使得任何人都可以直接尝试 RDP 远程登录。公网暴露的 RDP 端口会被自动化脚本 24 小时不间断地尝试爆破。

问题二：使用了弱密码

账户名是 admin，密码是 P@ssw0rd——这是全球最常见的"看起来复杂但实际已在泄露库里"的密码组合，被撞库几乎是早晚的事。

两个问题同时存在，被黑只是时间问题。

安全建议

如果你也有通过公网访问内网设备的需求，以下几点务必注意：

不要裸露 RDP 端口到公网，改用 VPN 或加密隧道中转，访问前先认证

绝对不用弱密码，尤其是对公网开放的服务，密码至少14位随机字符

开启账户锁定策略，连续登录失败超过 5 次自动锁定账户，阻断爆破

密码不要存在浏览器里，使用独立的密码管理器（推荐自建 Vaultwarden）

重要账户开启 2FA，即使密码泄露也多一层保障

希望这次经历能给大家提个醒，安全无小事。