漏洞防御

2021年冬天，漏洞防御Log4j2那个漏洞爆出来的漏洞防御时候，我正蹲在工位上啃冷掉的漏洞防御包子。手机开始疯狂弹消息，漏洞防御运维群里有人甩了条链接，漏洞防御紧接着CTO直接@了所有人。漏洞防御一个在开源日志库里的漏洞防御JNDI注入，能让攻击者远程执行任意代码——全球几百万台服务器，漏洞防御瞬间全成了没锁门的漏洞防御院子。

那几天我们几乎没合眼。漏洞防御排查依赖树、漏洞防御升级版本、漏洞防御加临时规则，漏洞防御一边干一边骂。漏洞防御但骂谁呢？漏洞防御那个被利用的JNDI lookup功能，原本是为了方便配置，写代码的人压根没想过有人会拿它当枪使。漏洞这东西，往往就藏在“本来是好意”的角落里。

我后来养成一个习惯：每次引入新的第三方库，先去翻它的issue列表，看有没有人报过奇怪的行为。这法子笨，但管用。去年有个项目用了某JSON解析库，我在GitHub上翻到半年前一个没关闭的issue，说深层嵌套会栈溢出。当时没人当回事，结果三个月后CVE编号下来了。我们提前换了实现，省了一场半夜爬起来打补丁的折腾。

防御这件事，最怕的是“应该没事吧”。我见过太多团队把安全寄托在“我们不是靶子”上。小公司觉得黑客看不上，内部系统觉得外网访问不到。可攻击早就自动化了，扫描器每天在互联网上犁地，逮着一个是一个。你不需要比所有人都安全，只需要比隔壁那台没打补丁的机器难啃一点。

说个具体的。我们内部有台老Jenkins，一直跑在默认端口上，密码还是admin/admin。有次安全扫描报告出来，我盯着那条“弱口令”看了半天，后背发凉。那台机器连着生产环境的部署密钥。改密码、关外网、加白名单，十分钟的事，拖了两年没人管。漏洞防御里，技术问题占一半，另一半是人的惰性。

还有个坑是“补丁疲劳”。微软每月发补丁，Linux发行版天天更新，容器镜像一天一个tag。运维看到升级通知就头疼。我的做法是分优先级：能直接getshell的、能绕过认证的，当天必须处理；信息泄露、拒绝服务这类，排进迭代周期。不是所有漏洞都值得半夜三点爬起来，但你需要清楚哪个是哪个。

写代码的人也得改改习惯。别把用户输入直接拼进SQL，别把序列化数据随便反序列化，别在日志里打敏感信息。这些老生常谈，每年OWASP Top 10换汤不换药。我审代码时看到eval()或者Runtime.exec()就条件反射地皱眉。有次一个实习生写了段Python，用pickle.loads()处理用户上传的文件，我让他改成JSON，他问为什么。我说你试试构造一个恶意pickle，他试完脸都白了。

防御不是砌一堵墙就完事。墙会裂，会被人找到砖缝。你得在院子里养狗、装摄像头、定期巡逻。纵深防御这词听着像PPT话术，但真做起来就是：WAF拦一层、代码里参数化查询拦一层、数据库权限最小化再拦一层。每层都不完美，叠起来能让攻击者多骂几句脏话，你的应急时间就多出几分钟。

最后说个反直觉的。有次我们内部红蓝对抗，蓝队把一台测试机故意留了个老漏洞，想钓鱼看红队上不上钩。结果红队绕过去了，从另一条完全没想到的路径打进来——一个开发人员图方便，在CI里硬编码了云厂商的AK。漏洞防御里，最薄的那块板往往不是技术组件，是人的图省事。

所以我现在看到“临时方案”四个字就警觉。临时改的配置、临时开的端口、临时借用的账号，最后都成了永久漏洞。清理它们不需要多高的技术，需要的是承认：省下来的那五分钟，迟早要还。