威胁最大的web安全威胁

2023年春天，威胁威胁一家年营收过百亿的安全SaaS公司，其运维主管在深夜收到了一条Slack通知。威胁威胁通知内容是安全一段代码仓库的更新日志，附带一个看起来再正常不过的威胁威胁链接——那是他们内部GitLab的域名，只是安全拼写里多了一个字母。他点了。威胁威胁五分钟后，安全攻击者拿到了这家公司所有客户的威胁威胁数据备份密钥。

这不是安全钓鱼邮件，不是威胁威胁暴力破解，也不是安全0day漏洞利用。攻击者只是威胁威胁提前一个月注册了那个拼写错误的域名，配上了一个自动同步脚本，安全等着某个疲惫的威胁威胁运维在凌晨三点犯下这个错误。整个过程没有任何技术含量，却穿透了层层防火墙、WAF和EDR。

这就是当下最危险的web威胁——不是某个漏洞多精巧，而是攻击者已经学会了用最低成本的方式，去攻击人类注意力最薄弱的那个瞬间。供应链攻击、凭证填充、会话劫持，这些老词儿背后，真正在膨胀的是“身份攻击面”。

你看，传统的安全建设思路是把城墙修高。但现在的攻击者根本不想翻墙了，他们直接伪装成每天进出城门的人。根据Verizon的数据泄露报告，超过80%的web攻击最终都涉及凭证滥用——不是破解，是直接用合法账号登录。这些账号从哪来？从钓鱼页面来，从撞库来，从那些员工在多个网站重复使用的密码里来。

更麻烦的是，企业上云之后，身份验证不再只是登录页面的那一次密码输入。API密钥、OAuth令牌、服务账号、第三方集成的授权——每一个都是潜在的入口。我见过一家公司的AWS密钥硬编码在GitHub私有仓库里，而这个仓库的访问权限被错误地共享给了整个部门。没人故意犯错，但“没人故意犯错”本身就是最大的问题。

还有个被低估的威胁是浏览器端的第三方脚本。你打开一个看似正常的网站，它加载了二十多个来自不同域名的JavaScript文件——分析工具、广告组件、聊天插件。只要其中一个被攻陷，攻击者就能在浏览器里读取你输入的所有内容，包括密码和支付信息。这已经发生了， Magecart攻击在2019年就窃取了成千上万张信用卡数据，而且至今没有消停。

但我不打算把文章写成威胁清单。我想说的是，真正的威胁在变化，防御思路也该变。你花大价钱买的下一代防火墙，拦不住一个被钓鱼的员工用合法账号登录。你在漏洞扫描上投入的精力，可能不如给每个关键系统强制启用硬件密钥来得实在。

安全圈有个老笑话：世界上最安全的系统是拔掉网线的电脑。但没人会这么做。所以现实是，我们得接受一个残酷的事实——web安全的战场已经从服务器转移到了浏览器，从漏洞利用转移到了身份信任，从技术对抗转移到了心理学博弈。攻击者不需要攻破你的系统，只需要让你自己把门打开。

那个SaaS公司后来做了什么呢？他们花了三个月排查泄露范围，赔付了违约金，换了CTO。而那个运维，在社交媒体上留下一句“我毁了自己的职业生涯”后就销声匿迹了。攻击者呢？大概只花了买域名的十几块钱，以及一个月的耐心等待。

下次你收到一封看似来自内部系统的邮件，或者看到一个拼写几乎一样的域名时，多花三秒钟看一眼。这可能是你今年做过最有价值的安全决策。