360网站漏洞

2017年2月，网站漏洞一个ID叫“360安全卫士”的网站漏洞微博账号发了条消息，说自家网站被黑了。网站漏洞点进去一看，网站漏洞360官网的网站漏洞某个页面确实挂着一条黑链，跳转到博彩网站。网站漏洞这事挺讽刺——国内最大的网站漏洞安全厂商之一，自己的网站漏洞站点被人挂了马。

但这不是网站漏洞孤例。翻翻乌云网当年的网站漏洞漏洞报告，360相关域名下的网站漏洞漏洞少说也有几十个。SQL注入、网站漏洞XSS跨站、网站漏洞任意文件上传，网站漏洞该有的网站漏洞类型一个没落下。有人可能会问：安全公司怎么自己反而不安全？

道理不复杂。360的产品线拉得太长了。安全卫士、杀毒、浏览器、搜索、手机助手、直播、金融……每个业务线都有自己的Web站点和后台系统。站点越多，攻击面越大。一个边缘业务的测试环境忘了下线，或者某个老旧的CMS没及时打补丁，就可能成为突破口。安全团队再强，也架不住资产盘子大、迭代速度快、历史遗留多。

我印象比较深的是一个关于360某子域名的漏洞。具体细节记不太清了，大概是通过一个未授权的API接口，能拉到内部员工的工号、邮箱和部分手机号。这种信息泄露单看不算致命，但配合社工库，就能拼出完整的攻击链路。先拿到员工信息，再钓鱼，再进内网。安全圈有句话：边界防御再厚，也怕内部有人递钥匙。

还有个案例是360某论坛的存储型XSS。攻击者可以在帖子内容里嵌入恶意脚本，任何浏览该帖的用户都会中招。这种漏洞在2015年前后特别常见，很多大厂都栽过。360这个论坛当时用的是Discuz，版本不算新，过滤规则有绕过方法。漏洞被提交后，修复速度倒是挺快，前后不到48小时。

修复快，是360在这类事件里比较一致的表现。毕竟自己就是干这个的，响应流程和应急机制都在。但问题在于，漏洞披露和修复之间的时间差，永远是被攻击者利用的窗口。你修得再快，也快不过自动化扫描器。

另一个值得说的点是，360的漏洞报告里，有相当一部分来自外部白帽子。乌云、补天、漏洞盒子，这些平台上活跃的安全研究者，挖到360的漏洞后提交，走SRC流程拿奖励。这其实是好事，说明众测机制在运转。但也从侧面反映出一个事实：内部安全测试覆盖不全，不然不会有这么多外部发现。

我个人的判断是，大厂的安全水平从来不是“有没有漏洞”的问题，而是“漏洞被谁先发现”的问题。360的SRC在圈内口碑还行，给钱不算抠门，响应也算及时。但安全这件事，做得再好，只要出一次事故，前面的努力就容易被一笔勾销。2017年那波黑链事件，传播范围广，对品牌形象的伤害比漏洞本身大得多。

说到底，安全厂商的网站被黑，不丢人。丢人的是同一个坑反复踩。从公开信息看，360在2015到2018年间，类似的问题出过好几次，类型也集中在Web层。这说明什么？说明业务扩张的速度超过了安全建设的速度。这是很多互联网公司的通病，只不过发生在安全公司身上，显得格外扎眼。

写这些不是要否定360的技术能力。恰恰相反，能把SRC运营起来、能快速响应外部提交的漏洞，已经比大多数公司强了。但安全这行，自己说自己安全没用，得看攻击者认不认。而攻击者，永远在找那个最薄弱的环节。