Clash For Windows 自己疯狂跑流量是怎么回事

[sniperking1234]

目前现象如下： 我电脑上装有网速监控软件，当 clash 打开的时候，并且没有开启系统代理的情况下，网络监控中的上下行带宽大幅增加。

同时 clash 自带的面板显示上行网速增加，下行网速倒是正常，日志界面中也有大量日志数据，并一直在刷新，截图如下。

关闭 clash 之后，一切正常，不知道是什么原因，请大家分析一下

破案了，我的宽带有公网 ip ，然后路由器开启了 dmz 功能，转发到我的电脑上，由于之前 clash 配置的允许局域网访问，所以相当于公网 ip 的 7890 端口会转发到我的电脑的 clash 上，估计今天是被人探测到了，白嫖了我的网络

[estk]

在给节点测速？

[kaedea]

你开代理的软件流量都算到 VPN 头上了

[sniperking1234]

@estk 应该不是，持续超过 20 分钟了

[szdosar]

有公网 ip ？某个（些）版本有漏洞，被人刷流量了

[sniperking1234]

@kaedea 这应该是 clash 自己产生的，和其他软件没关系

[610915518]

点开 Connections 看看

[Greatshu]

目测是 clash 的 bug ，之前在 clash-core ，还是 cfw 的 issue 里看到过类似的问题，用 TCPview 看一下

[sniperking1234]

@610915518
https://z1.ax1x.com/2023/12/09/pi25UGF.png

[qq565425677]

看看 connection 在和哪个域名通信，然后搜一下这个域名

[sniperking1234]

@szdosar 是公网 ip ，clash 还会对外暴漏端口么

[sniperking1234]

@qq565425677 connection 信息里面没有域名，只有 ip 地址，我搜了几个 ip 地址，都是俄罗斯、乌克兰的，难道真被攻击了？

[Shiroka]

@sniperking1234 你全打码了，还让大家分析个球...

[luckykong]

应该是配置出错误了，你改改 DNS 或者 Tun 的配置？ 你截图上，涂掉的内容，是不是全部都是 IP 地址？看不到任何域名？ 正常情况下，这里应该显示很多域名，而不是 IP 的。
先关掉这些高级设置，试试就用 浏览器扩展 + 本地端口代理 的模式？

[EricXuu]

看下源端口，找找是啥进程发起的

[sniperking1234]

@Shiroka 我不清楚会不会暴扣我自己的网络信息，一会我发一张没打码的

[apiman]

你自己查一下上传流量的来源和目的地啊

[sniperking1234]

https://z1.ax1x.com/2023/12/09/pi252GD.png

无码的 connection 信息

[sniperking1234]

@EricXuu 像这种 source 和 destination 都不是我本机 ip ，很奇怪
https://z1.ax1x.com/2023/12/09/pi25WxH.png

[sniperking1234]

我把 clash 里面允许局域网关掉之后，一切正常的，难道我局域网内设备被攻击了？
https://z1.ax1x.com/2023/12/09/pi25LRg.png

[eaststarpen]

@sniperking1234 https://clash.razord.top/

这个能看 src ip 和 dst ip

看看请求是从什么设备发出的

[x86]

哈哈，今早我还问网管来着，一台备份的服务器不知道怎么网关解析到我一台 shellclash 上去了，跑了我 30 多 g 流量🤔

[xinge666]

我遇到过，Windows 的 CFW 开了局域网访问，然后刚好给这台电脑开了 DMZ ，CFW 的端口开放给公网就被扫到了，把 DMZ 关掉就行了

[kaedea]

@sniperking1234 抓包看看？

[shwomen1234fs]

可能偷跑， 看看这个视频是不是这个问题

[MYDB]

问=被白嫖了这么久还没解决

[cy18]

这下知道哪些免费 clash 节点哪来的了...

[googlefans]

是最新版吗？

[SekiBetu]

闭源内核是这样的

[gzlock]

楼主这是网络配置的问题，怎么有些回复还怪到闭源上了

[EasonSummer]

DMZ 功能。。。要转发端口也一个个自己转发呢

[ochatokori]

哈哈，我还没点进来就猜到是放出去被人用了，之前 v 站也有一个一样的

[DogBear]

拨号路由器用 shaodowsocksr+ 开局域网 socks 服务端，被扫出来滥用害我 vps 收了 8 个 email abuse

[bclerdx]

@SekiBetu 为何会这样？

[Godjack]

@sniperking1234 #19 [[Bug]: 如果发现自己 Clash 资源占用率极高 / 日志卡死 / 连接数异常增加，请考虑关闭 Allow-Lan・Issue #2769・Fndroid/clash_for_windows_pkg・GitHub]( https://web.archive.org/web/20230321145521/https://github.com/Fndroid/clash_for_windows_pkg/issues/2769)

[Mingle3016]

我今天发现我手机上百度网盘有个类似的现象，我要下一个 30k 的文档，结果点任务开始以后，文档一点都不动，但是手机流量监控显示网速一直在 5m/s 地跑，这是咋回事

[Revenant]

不一定是内核问题，我之前开启了局域网访问，流量被疯狂偷跑，关掉就没事了
估计可能真的像楼上老哥说的那样，开了 DMZ ，被搞黑产的扫到了

[kokutou]

居然开 DMZ....

开了 DMZ 还不注意防火墙限源...

[lonely701]

DMZ 、UPnP 在有公网 IP 的情况下建议关掉，手动添加端口转发，并且不要用默认端口号，尽可能用 10000 以上的端口号。Clash 支持随机端口号。

[sniperking1234]

@lonely701 多谢提醒，现在知道教训了

[ns09005264]

7890 这个端口太有名了，公网上开这个端口应该很容易就被扫到，而且也没有加密，随便谁在自己电脑上设置一下 http_proxy=http://你 IP:7890 就能拿你电脑当代理服务器了。

[Joomaen]

@ns09005264 #40 还好没有公网 ip ，吓死我了

[huoshen]

好家伙，开公网，然后 dmz 运行 clash ，你幸好发出来大家帮你找到了，不然，运营商触发了的话直接就是封停，要是有人拿你宽带做了什么事情，直接就是警察上门，不是你做的也够喝一壶的

[yuebuzai]

我上个月也是

[SekiBetu]

@bclerdx 作者已经被朝廷诏安，以前写的后门用上了

[fndroid]

@SekiBetu 您懂得真多

[sdcg1994]

是的 cfw 其实是被外星人控制的软件 地球的资料正在被窃取 我们要有保密意识 涉密不上网 上网不涉密

[Bear13023]

光改端口也未必有用，当然也有可能他们先已经捕获了我的设备。

类似楼主情形，局域网开了共享之类功能，直接电脑要被跑死机了，改端口，加密码都不管用。就是不能开那几个服务，具体哪个也懒得试了，搞得很烦

[sunny2580839896]

关闭 tun 看看