漏洞怎么办

去年秋天，漏洞办我帮一个做电商的漏洞办朋友看他的服务器日志。凌晨三点，漏洞办有人用脚本批量请求他网站的漏洞办优惠券接口，每分钟两千次。漏洞办第二天早上，漏洞办账上少了四万多。漏洞办他问我：“我这算不算被黑了？漏洞办”我说算，也不算——漏洞就在那儿，漏洞办只是漏洞办被人发现了。

漏洞这东西，漏洞办从来不是漏洞办“有没有”的问题，而是漏洞办“什么时候被谁撞上”的问题。你写代码的漏洞办时候觉得逻辑天衣无缝，但总有人能从你没想过的漏洞办地方钻进来。我见过一个登录页面，前端做了手机号格式校验，后端居然没做。攻击者直接把请求里的手机号改成一段SQL，数据库差点被拖走。开发那人后来跟我说：“我以为前端校验就够了。”这种“我以为”，就是漏洞的温床。

那怎么办？先别急着买什么安全设备。我见过太多公司花几十万上了一套WAF，结果开发在代码里硬编码了数据库密码，还提交到了公开的Git仓库。基础没打好，上层堆再多东西都是白搭。我的习惯是，每次上线前自己先当一回坏人。拿个代理工具，把请求拦下来，改参数、改路径、改请求方法，看服务端什么反应。有时候只是把GET改成POST，就能看到一个不该出现的报错页面，里面带着完整的堆栈信息。这玩意儿对攻击者来说，就是一张地图。

还有一类漏洞跟代码无关，纯粹是配置惹的祸。前阵子有个做小程序的后端，图省事把云存储的权限设成了“公共读写”。结果用户上传的身份证照片，任何人只要知道URL就能下载。这种漏洞扫都扫不出来，因为从代码层面看一切正常。我后来跟他说，你每次改完云服务配置，自己先退出登录，拿个没权限的账号去试试能不能访问。能访问，就说明有问题。别嫌麻烦，这比事后写道歉信轻松多了。

说到具体做法，我自己的清单大概是这样：所有用户输入的地方，不管是表单、URL参数还是HTTP头，一律不信任。数据库查询必须用参数化，别拼字符串。文件上传要检查类型和大小，最好重命名后再存，别用用户传上来的文件名。权限校验放在服务端，每个接口都过一遍，别指望前端隐藏按钮就能挡住人。还有，错误信息别往外吐细节，什么“数据库连接失败：xxx表不存在”这种话，自己看看日志就行了。

但说实话，没有谁能保证自己写的系统没漏洞。我认识一个做了十几年安全的老哥，他跟我说过一句话：“你唯一能做的，就是让攻击者觉得攻你的成本比攻别人高。”什么意思？就是该打的补丁打上，该做的校验做上，该分的权限分清楚。攻击者也是要算账的，你这边门槛稍微高一点，他就去搞隔壁那个连密码都设成123456的了。

最后说个真事。有个小团队，每次发版前会花半小时做一件事：把过去三个月里所有出过漏洞的地方列出来，挨个再测一遍。听起来很笨，但他们上线两年，没出过一次安全事故。漏洞怎么办？没有一劳永逸的答案。但你要是每次踩坑之后都回头看一眼，那个坑就不会再掉进去第二次。这大概就是最实在的办法了。

很赞哦!（645）