上周某金融客户的渗透核心系统渗透测试，结果惨不忍睹。测试42个漏洞里，现较高危17个，多安洞其中3个可以直接拿到域管权限。全漏这不是渗透小作坊的系统，是测试每天处理数亿交易的核心平台。

最讽刺的现较是什么？漏洞不是藏在什么深奥的技术难点里。一个SQL注入就挂在对外查询接口上，多安洞参数没做任何过滤。全漏测试人员只是渗透简单输入了单引号，数据库就报错了。测试顺着这个口子，现较我们拖出了全量用户表。多安洞前后不超过十分钟。全漏

还有个逻辑漏洞更离谱。密码重置功能，验证码校验居然在修改密码的下一步。也就是说，攻击者可以绕过验证码直接跳到设置新密码的环节。开发人员大概以为用户永远会按顺序操作，可HTTP请求是可以手工构造的。

这些漏洞背后，我看到的是团队协作的断裂。开发说测试没测出来，测试说需求文档没写清楚，项目经理说排期太紧。每个环节都在甩锅，唯独没人承认：我们根本不重视安全。

另一个典型问题，内网横向渗透的路径畅通无阻。拿到一台普通办公机的权限后，直接可以访问生产数据库的3306端口。安全组规则形同虚设，运维说配置了，实际连上就通。这种事我在不同客户那里见过至少五次，每次都是同样的故事：防火墙规则改完没人复核，一放就是半年。

倒是有一个漏洞让我觉得有点意思。某个老系统的文件上传功能，居然能上传JSP木马。技术含量不高，但暴露了更深的问题——这个系统已经运行了八年，中间换过三波外包团队，没人知道服务器上到底跑了什么代码。

报告交上去的时候，客户安全主管脸色很难看。他问我：这些漏洞修复要多久？我说，SQL注入当天能改完，逻辑漏洞两天，内网隔离重新规划至少两周。他沉默了一会儿，说：那这个月安全考核又要垫底了。

你看，他们的第一反应不是系统风险，而是考核排名。这大概才是漏洞反复出现的根源。安全在组织里从来不是技术问题，是人的问题，是流程的问题，是优先级的问题。你给再多的扫描器和防护设备，只要没人真正把安全当回事，漏洞就会像野草一样，割了一茬又长一茬。

我走的时候，看到他们运维正在加班改防火墙规则。希望这次能坚持久一点，别等下个月复查，又开回去了。

(责任编辑：时尚)