漏洞检查

一个没打补丁的漏洞检查Apache Struts 2框架，让Equifax丢掉了1.43亿美国人的漏洞检查信用数据。这事发生在2017年，漏洞检查漏洞编号CVE-2017-5638。漏洞检查攻击者只需要构造一个恶意的漏洞检查Content-Type请求头，就能在服务器上执行任意命令。漏洞检查Equifax的漏洞检查安全团队在漏洞公布后整整两天没有动作。两天，漏洞检查在安全圈里等于两年。漏洞检查

我见过太多团队把漏洞检查当成打卡任务。漏洞检查扫一遍，漏洞检查出份报告，漏洞检查归档，漏洞检查完事。漏洞检查这种做法的漏洞检查荒谬程度，就像体检时只量身高不查血常规，然后宣称自己很健康。漏洞检查的核心不是"扫过了"，而是"看懂了"。工具只能告诉你哪里可能有坑，判断这个坑会不会摔死人，得靠人。

说个具体的。去年帮一个做电商的朋友看他们的系统。扫描器报了一堆低危漏洞，什么缺少HttpOnly标志、目录列表未关闭之类。他们的开发负责人说这些都是老问题，优先级低。我随手试了一下他们的登录接口，发现返回的错误信息里直接包含了SQL语句片段。扫描器没报这个，因为它的规则库里没有匹配到标准注入模式。但这个信息泄露配合他们前端的一个参数拼接逻辑，可以构造出完整的注入攻击链。工具是死的，攻击链是活的。

漏洞检查最容易犯的错，是只盯着代码。代码之外的东西往往更致命。服务器的SSH端口对公网开放，Redis没设密码，S3存储桶权限配成了public，这些配置层面的问题，代码扫描器根本看不见。我习惯先做资产梳理——你到底有多少个IP、多少个域名、多少个对外暴露的服务？很多团队连自己有多少资产都说不清楚。你不知道自己有什么，就不知道要保护什么。

还有个事挺有意思。某次渗透测试，目标系统代码写得相当扎实，WAF规则也很完善。正面硬攻没戏。后来发现他们有个内部用的运维接口，藏在了一个很不起眼的子域名上，用的是三年前离职员工留下的账号密码。密码是公司名字加123。这种问题，任何自动化工具都扫不出来。它靠的是信息收集、耐心，以及对"人"这个变量的理解。

漏洞的优先级判断也需要经验。CVSS评分高不代表对你的系统威胁就大。一个需要物理接触才能利用的高危漏洞，对于纯线上业务来说可能还不如一个中危的远程信息泄露来得紧迫。你的业务架构、数据流向、用户群体，这些才是决定修复顺序的依据。脱离业务谈漏洞等级，是纸上谈兵。

修复环节同样容易出问题。打补丁不是终点。补丁打完之后有没有回归测试？有没有确认修复方案本身没有引入新的攻击面？我见过一个团队为了修一个XSS漏洞，在过滤函数里加了一段正则，结果把正常的用户输入也拦了，业务直接不可用。安全修复必须和业务方一起做，关起门来改代码，改出来的往往是另一个事故。

漏洞检查这件事，说到底是在跟人性和时间赛跑。人会偷懒，时间永远不够。但攻击者不会因为你的排期紧张就手下留情。把漏洞检查嵌入到日常的开发流程里，每次发版前过一遍关键项，比攒到年底搞一次大规模扫描要有效得多。持续性比强度重要，这个道理跟健身一样。

很赞哦!（974）