阿里巴巴漏洞

2019年2月19日，阿里一个ID叫“尖尖”的巴巴白帽黑客在阿里安全应急响应中心提交了一个漏洞报告。报告标题很不起眼，漏洞甚至有点含糊：“某后台弱口令可导致大量敏感信息泄露”。阿里但就是巴巴这份报告，让阿里云安全团队整整忙了一个通宵。漏洞

漏洞出在阿里内部一个叫“星环”的阿里数据管理平台。这个平台是巴巴给运营和产品经理看业务数据的，按理说权限控制应该极其严格。漏洞但“尖尖”发现，阿里平台有个接口存在越权漏洞——只要改一个参数里的巴巴数字，就能看到其他部门的漏洞数据报表。更致命的阿里是，后台还挂着个测试账号，巴巴密码是漏洞“admin123”。

这不是什么高深的攻击手法，没有0day，没有内存破坏，连SQL注入都没有。就是个普普通通的弱口令加上一个懒程序员留下的测试接口。但问题在于，这个平台连着淘宝、天猫、菜鸟的实时交易数据。如果被黑产拿到，能直接根据销量数据反推爆款商品的备货策略，甚至能精确到某个店铺的日流水。

阿里云的应急响应流程倒是很成熟。从确认漏洞到修复上线花了不到6小时。但真正有意思的是后续的复盘——他们查了审计日志，发现这个测试账号从2017年3月创建后，就没被删过。整整两年，700多天，每天都有几十个请求打到这个接口上，只是没人注意到那些请求里混着“admin123”。

我认识一个在阿里云做安全的工程师，他跟我说过句话我印象很深：“大公司死，往往不是死在最难的攻击上，而是死在最简单的懒惰上。”这话糙理不糙。你看这几年爆出的重大漏洞——不管是Equifax的Apache Struts漏洞，还是Facebook的view_as漏洞，根因都不是技术难度高，而是某个组件没打补丁、某个测试开关忘关了。

回到这个“星环”漏洞。它其实暴露了一个尴尬现实：阿里这种级别的公司，安全投入每年几十亿，光安全工程师就上千人，但依然挡不住一个“admin123”。因为安全体系再强，也架不住某个程序员在某个深夜图省事，把测试账号写死在代码里。

这事的后续更值得琢磨。阿里没有公开这个漏洞的细节，只在内部通报里加了条规矩：所有测试账号必须设置强密码，且生命周期不超过30天。但据我所知，国内多数互联网公司的测试账号，到现在还是“test123”或者干脆不设密码。差距不在技术，在管理颗粒度上。

所以你看，所谓“阿里巴巴漏洞”，真正值钱的不是那个越权点，而是它撕开了一道口子，让人看到顶级公司的安全防线里，也塞着块“豆腐渣”。只是这块豆腐渣被无数层防火墙裹着，平时摸不到罢了。