传奇漏洞发布

凌晨两点十七分，传奇我的漏洞安全群炸了。

有人甩出一段十六进制字符串，发布配文只有两个字：“通了”。传奇那是漏洞某国产ERP系统的一个越权漏洞，理论上只影响内网部署版本，发布可偏偏有人把它挂到了公网。传奇不到半小时，漏洞漏洞库收录，发布PoC公开，传奇连复现步骤都写得跟菜谱似的漏洞——第一步点哪里，第二步改哪个参数，发布第三步拿管理员权限。传奇整个过程行云流水，漏洞看得我后背发凉。发布

这漏洞本身不算高明。就是个典型的IDOR（不安全的直接对象引用），订单号从10001改成10002，就能看到别人的企业采购明细。真正要命的是，这个系统被大量中小制造企业用来跑供应链管理。我认识一个在浙江做汽配的老板，他公司的订单、库存、客户联系方式全在这套系统里。他压根不知道什么叫“越权”，只知道软件是“官方正版”，服务商说“内网部署绝对安全”。

结果呢？漏洞公布后第三天，就有人开始批量扫描公网上的暴露实例。我跟踪了其中一个扫描源的IP，归属地显示在东南亚，但手法老练得不像新手——先探测端口，再试默认口令，最后精准调用那个有漏洞的接口。整个过程不超过四秒。这种自动化程度，不是个人黑客干得出来的，背后大概率有团伙在批量收割数据。

更讽刺的是，软件厂商的反应。漏洞公开后六小时，他们发了个公告，说“建议用户升级至最新版本”。可那个“最新版本”的补丁，直到漏洞公开后第五天才放出来。这五天里，公网上的暴露资产被扫了多少遍？没人统计。我只知道，我测试用的那个模拟环境，漏洞公开当天就被扫描了十七次。

这事让我想起去年某摄像头漏洞，也是类似套路——厂商死不承认，直到有人用漏洞控制了某幼儿园的监控，才连夜发补丁。安全行业有个老话：“漏洞不可怕，可怕的是没人管”。可现实往往是，漏洞公开了，厂商装死，用户懵逼，中间商趁乱捞一把。那些卖“漏洞情报”的社群，一个零日漏洞报价能到六位数，而受害企业可能连安全预算都没有。

我见过最离谱的案例，是一家做外贸的小公司，因为中了勒索病毒，被迫支付了相当于三个月利润的赎金。事后排查，入口就是那个老掉牙的ERP漏洞。老板跟我说：“早知道当初就该多花两万块买安全服务。”可问题是，两万块的安全服务，也未必能挡住这种“公开漏洞”的批量利用。

漏洞发布是一把双刃剑。白帽子们觉得公开能倒逼厂商修复，可现实是，多数厂商的响应速度根本跟不上攻击者的自动化程度。我甚至见过某厂商的安全公告，漏洞描述里把“严重”写成“中危”，就为了少赔点违约金。这种掩耳盗铃的把戏，最后坑的是那些不懂技术的普通用户。

所以啊，别指望厂商发善心。你自己用的系统，自己得上心——该打补丁打补丁，该隔离外网隔离外网，实在不行，至少把默认口令改了。这年头，漏洞像流感，每年都有新变种，但基础卫生做不好，中招只是时间问题。

凌晨三点，群里的讨论还在继续。有人开始分析另一个漏洞，我关掉手机，看了眼窗外。城市灯火通明，无数企业系统在暗处运行，谁也不知道下一个“传奇漏洞”会在什么时候，以什么方式，砸到谁的头上。