https://softon.top/tags/ssh/ Recent content in SSH on softon.top Hugo zh-CN Wed, 04 Nov 2026 00:00:00 +0000 https://softon.top/software/ssh-terminal-2026-comparison-mobaxterm-windterm-finalshell-xshell/ Wed, 04 Nov 2026 00:00:00 +0000 https://softon.top/software/ssh-terminal-2026-comparison-mobaxterm-windterm-finalshell-xshell/ <blockquote> <p>你每天要连服务器，但选终端这件事，你大概已经很久没想过。 反正都是黑框，反正都能输命令。直到某天你发现自己在一台机器上反复重连 20 次，才发现&quot;选错&quot;的代价不是买软件那几百块，而是每天多花的几分钟。 这篇文章不教你怎么装，只讲一件更值钱的事：<strong>2026 年，六个常用 SSH 终端到底差在哪，你该留哪个。</strong></p> </blockquote> <blockquote> <p><strong>TL;DR</strong></p> <ul> <li>国内运维最稳的默认答案是 <strong>FinalShell</strong>：中文原生、免费、自带服务器监控面板，中文环境下几乎零学习成本。</li> <li>想免费又要功能溢出，看 <strong>WindTerm</strong>：开源、协议全（SSH/串口/K8s）、性能强，代价是界面不够&quot;消费级精致&quot;。</li> <li>老牌全能选手是 <strong>MobaXterm</strong>：内置 X11 转发、SFTP 侧栏、宏录制，免费版有会话数限制，专业功能要付费。</li> <li>公司只认商业授权、要脚本与审计，选 <strong>Xshell</strong> 或 <strong>SecureCRT</strong>，但要做好每年授权费的心理准备。</li> <li>想跨 Mac/Win/Linux 一台机器统一体验，看 <strong>Tabby</strong>，它不是最强，但是最&quot;无感&quot;。</li> <li>终端再强也不该替你保管明文密码——密钥管理这件事，软件帮不了你。</li> </ul> </blockquote> <h2 id="为什么-2026-年了还要挑终端">为什么 2026 年了还要挑终端？ </h2><p>因为终端不是编辑器。编辑器选错，你只是写代码慢一点；终端选错，你每天都在还债。</p> <p>举三个真实场景：</p> <ul> <li>你同时管 8 台服务器，每次都要手敲 <code>ssh user@host -p 端口</code>，还要记哪个是生产哪个是测试。</li> <li>你要把本地一个脚本推到服务器上跑，然后手动 <code>scp</code>，然后手动 <code>vim</code> 改，然后手动重启服务。</li> <li>你在公司电脑上用 Xshell，回家用 Mac，发现 Mac 上没有 Xshell，或者装了但授权不认。</li> </ul> <p>这些痛，跟 SSH 协议本身没关系，跟<strong>你选的那个终端</strong>有关系。</p> <p>所以横评的从来不是&quot;哪个能连上服务器&quot;——它们都能。真正要比的是：<strong>谁让你少做重复动作、少记东西、少花钱、少踩坑。</strong></p> <h2 id="六个选手先把名单摆清楚">六个选手，先把名单摆清楚 </h2><table> <thead> <tr> <th>选手</th> <th>出身</th> <th>授权</th> <th>一句话定位</th> </tr> </thead> <tbody> <tr> <td><strong>MobaXterm</strong></td> <td>法国 MobaTek</td> <td>免费版 + Home/Professional 付费</td> <td>内置 X11、SFTP 侧栏、宏录制，运维老牌</td> </tr> <tr> <td><strong>WindTerm</strong></td> <td>中国开源</td> <td>GPL 开源免费</td> <td>功能溢出、协议全、性能强，界面偏极客</td> </tr> <tr> <td><strong>FinalShell</strong></td> <td>中国国产</td> <td>免费（含脚本市场）</td> <td>中文原生、自带服务器监控面板</td> </tr> <tr> <td><strong>Xshell</strong></td> <td>韩国 Netsarang</td> <td>商业（有免费版）</td> <td>企业标配、脚本强、授权贵</td> </tr> <tr> <td><strong>SecureCRT</strong></td> <td>美国 VanDyke</td> <td>商业</td> <td>企业遗留、会话库、审计向</td> </tr> <tr> <td><strong>Tabby</strong></td> <td>开源跨平台</td> <td>免费开源</td> <td>多端统一、插件化、颜值在线</td> </tr> </tbody> </table> <p>先说结论：<strong>这六款里没有&quot;最好&quot;，只有&quot;最配你的场景&quot;。</strong> 下面六个维度打分，就是帮你找&quot;最配&quot;。</p> https://softon.top/software/tailscale-ssh-tailworm-vulnerability-root-privilege-escalation-mitigation/ Wed, 28 Oct 2026 00:00:00 +0000 https://softon.top/software/tailscale-ssh-tailworm-vulnerability-root-privilege-escalation-mitigation/ <p>2026 年 10 月 25 日，安全研究员 Erica Windisch（Cyberdione Labs）发布了 <strong>Tailworm</strong> 报告。</p> <p>报告说的是 Tailscale 内置的 SSH 服务。结论很吓人：<strong>一台设备失陷，就能以每台不到 1 秒的速度，把网内其他服务器挨个提权成 root</strong>——不需要密码，不需要偷密钥，不需要用户交互。</p> <p>Tailscale 官方截至发稿<strong>没有发布安全公告、没有分配 CVE、没有修复版本</strong>。工程副总裁 Mike Shaver 在 Reddit 的回应是：不建议所有用户直接禁用 Tailscale SSH。</p> <p>我用 Tailscale 管家里的 NAS 和几台服务器。这份报告我逐条读了，也把临时避险清单跑了一遍。这篇把<strong>漏洞机制、三条利用链、以及我现在怎么改 ACL</strong> 全部拆开。</p> <blockquote> <p><strong>TL;DR</strong></p> <ul> <li>Tailscale SSH 的服务器跑在 <code>tailscaled</code> 里，这个守护进程是 <strong>root 权限</strong>；标准 OpenSSH 认证后会降权，它不会</li> <li>Unix socket 转发（<code>ssh -L</code>/<code>-R</code>）的路径检查和文件操作都以 root 执行，存在 TOCTOU 竞态</li> <li>实测链：替换 root 套接字执行 root 命令、通过 Docker/systemd/管理套接字提权、窃取注册密钥把自有设备接进网络</li> <li><strong>唯一被验证能阻断传播的措施</strong>：把 ACL 改成&quot;单源到单目标&quot;配对规则</li> <li>headscale 0.29.5 <strong>无法关闭端口转发</strong>，其 SSH 授权等同于开放 root</li> <li>这<strong>不是</strong>外部未授权远程访问，前提是&quot;已批准设备 + SSH 规则允许转发&quot;</li> </ul> </blockquote> <h2 id="tailscaled-为什么会变成-root-后门">tailscaled 为什么会变成 root 后门？ </h2><p>先讲清楚一个反直觉的设计差异。</p>