存在漏洞的ip地址

去年秋天，存漏我帮一个做电商的洞的地址朋友查服务器日志。他跟我说网站老被爬，存漏商品价格被人扒得一干二净。洞的地址我扫了一眼访问记录，存漏发现有个IP段每天凌晨三点准时来，洞的地址每次抓两千条就走。存漏查了一下归属，洞的地址是存漏某云服务商的机房。这不算什么新鲜事，洞的地址但接下来我注意到一个细节：这个IP段里有个地址，存漏203.0.113.47，洞的地址它不光抓数据，存漏还试图访问后台的洞的地址/admin路径，返回码是存漏200。

200意味着什么？意味着它进去了。朋友一脸懵，说后台明明设了密码。我让他把那个IP的完整请求日志导出来，发现它用的是默认的admin/admin。对，就是那种你装完WordPress忘了改的默认口令。更离谱的是，这个IP在成功登录后，只做了一件事：把数据库里所有用户的手机号导出了一份CSV。整个过程不到四分钟。

这不是什么高级持续性威胁，连脚本小子都算不上。就是一个存在漏洞的IP地址，碰巧扫到了一个同样存在漏洞的后台。但我想说的是另一件事——这个IP本身，203.0.113.47，它其实是个保留地址段。RFC 5737里写得很清楚，203.0.113.0/24是专门用于文档和示例的，不应该出现在真实网络流量里。

那它怎么来的？我让朋友查了Nginx的access.log，发现这个IP的请求头里X-Forwarded-For字段是空的，User-Agent写的是python-requests/2.28.1。再往前翻，有一条来自真实IP的请求，X-Forwarded-For里填的就是203.0.113.47。也就是说，有人手动构造了这个头，想伪装成文档示例地址来绕过WAF的IP黑名单。

这招其实挺糙的。大部分WAF会直接忽略保留地址段，但有些配置不当的规则会把203.0.113.0/24当成正常公网IP放行。朋友那台服务器用的就是某开源WAF的默认规则集，里面正好有这条漏网之鱼。

我后来在Shodan上搜了一下203.0.113.47，结果挺有意思。有十七台服务器返回了相同的Server头：nginx/1.18.0 (Ubuntu)，而且/admin路径都返回200。这些服务器分布在三个不同的云厂商，但用的都是同一套CMS——一个叫“微擎”的微信开发框架。这个框架在2021年爆过一个未授权访问漏洞，补丁出了，但很多人没打。

所以这个IP地址本身没什么特别的。它就是一个数字，一个被写进RFC文档的示例地址。但当它被用来构造请求头、绕过规则、扫描那些没打补丁的服务器时，它就变成了一个“存在漏洞的IP地址”——不是IP有漏洞，是使用IP的方式有漏洞，是那些服务器有漏洞，是那套默认规则有漏洞。

朋友后来把WAF规则改了，把保留地址段全部拉黑，又给后台加了双因素认证。我问他那个203.0.113.47还来不来，他说不来了。但我知道，明天凌晨三点，会有另一个IP地址出现，可能是198.51.100.23，也可能是192.0.2.88。它们都来自RFC 5737的示例地址段，都带着同样的python-requests头，都在找那扇没锁的门。

这事过去快一年了。前几天我翻自己的笔记，看到当时截的一张图：203.0.113.47在凌晨3:17:22发了最后一个请求，GET /admin/export.php?type=user，返回200。然后它就消失了。像什么都没发生过一样。