常规漏洞

去年秋天，常规漏洞一个做运维的常规漏洞朋友半夜给我打电话，声音都在抖。常规漏洞他们公司一台对外服务的常规漏洞服务器被人挂了webshell，数据库里几十万条用户记录被拖走。常规漏洞我问他怎么进来的常规漏洞，他沉默了几秒说：Struts2，常规漏洞就是常规漏洞那个S2-045，补丁其实三个月前就发了，常规漏洞但他手底下的常规漏洞人漏掉了那台机器。

这种事听得太多，常规漏洞多到让人麻木。常规漏洞常规漏洞——我指的常规漏洞是那些已经被公开、被收录进CVE、常规漏洞甚至被写进教科书的常规漏洞老面孔——它们才是真正制造事故的主力。零日漏洞听起来吓人，但普通人一辈子也未必碰得上一次。真正把企业按在地上摩擦的，永远是那些“早该修好”的东西。

SQL注入就是典型。这玩意儿1998年就被正式提出来了，二十多年过去，OWASP Top 10里它换了个名字叫“注入类漏洞”，位置稳如泰山。我见过一个政务系统，登录框里输入一个单引号直接报数据库错误，连盲注都不用。开发人员后来解释说“这是内网系统”。可那个内网系统通过一台反向代理暴露在公网上，代理只做了端口转发，没做任何过滤。

XSS也一样。反射型、存储型、DOM型，分类清清楚楚，防御方案也清清楚楚——输出编码。但你去翻一些中小型网站，搜索框里输入<script>alert(1)</script>，弹窗照样跳出来。有个做电商的朋友跟我说，他们后台的订单备注字段从来没做过转义，因为“客服自己用的，谁会攻击自己人”。结果有个离职员工在备注里埋了一段脚本，专门偷管理员的cookie，三个月后才被发现。

文件上传漏洞更是重灾区。很多系统只在前端用JavaScript判断后缀名，抓包改一下就能传PHP文件。我测试过一个在线教育平台，上传头像的地方把文件名改成shell.php.jpg，后端只检查了最后一个点后面的内容，直接放行。后来我用那个shell翻了翻目录，发现同服务器上还跑着另外两个站，都是同一家公司的。

这些漏洞有个共同点：修复成本极低。一个参数化查询、一个htmlspecialchars()、一个白名单校验，就能堵住。但就是没人做。为什么？因为业务永远优先。产品经理催着上线，开发赶工期，安全测试被压缩到上线前最后两天。测出来问题，领导说“先上，下个版本修”。下个版本又有新功能，旧漏洞继续挂着。

我自己的观察是，大部分入侵事件里，攻击者用的工具都很老。sqlmap、Burp Suite、中国菜刀，有些版本甚至是五六年前的。他们不需要什么高级0day，只需要扫一遍网段，找那些没打补丁的机器。一个未修复的Tomcat后台弱口令，就能让整个内网沦陷。去年有个勒索软件团伙专门盯着暴露在公网的RDP端口，密码爆破成功率高的原因不是密码多复杂，而是很多人压根没改过默认的Administrator密码。

说这些不是要贩卖焦虑。常规漏洞之所以“常规”，恰恰说明它们有成熟的防御手段。问题从来不在技术层面，而在流程和态度。你问一个开发知不知道SQL注入，他肯定说知道。你问他项目里有没有用参数化查询，他可能会犹豫一下说“大部分地方用了”。那个“大部分”就是缺口。

我那个运维朋友后来复盘，发现那台被入侵的服务器不在任何资产清单里。它是两年前一个临时项目留下的，项目结束了，机器没下线，也没人管。补丁管理平台扫不到它，因为没装agent。防火墙策略里倒是有它，但规则是any到any。这种“影子资产”在每个稍大点的公司里都能找出几台。

所以每次看到有人讨论“如何防御APT”、“怎么应对供应链攻击”，我都想说，先把资产盘点做清楚，把补丁打全，把输入输出过滤做好。这些事做完，你已经挡掉了九成以上的实际攻击。剩下的那一成，再慢慢谈高级威胁。

很赞哦!（174）