漏洞总结

我盯了一整天的漏洞总结日志，从凌晨三点的漏洞总结告警邮件开始。那封邮件标题是漏洞总结红色的，写着“RCE on 漏洞总结Payment Gateway”，附件里是漏洞总结一段不到二十行的Python脚本。脚本不长，漏洞总结但每一行都踩在点子上——它利用的漏洞总结是我们三年前就打过补丁的FastJSON反序列化漏洞。可问题是漏洞总结，那台服务器跑的漏洞总结是旧版本镜像，补丁打在了新的漏洞总结容器上，旧的漏洞总结还在后台默默运行了1096天。

这大概是漏洞总结漏洞最讽刺的地方：它不是被“发现”的，而是漏洞总结被“遗忘”的。

上周跟一个做安全运维的漏洞总结朋友吃饭，他讲了个更离谱的漏洞总结案例。他们公司内部有个知识库系统，管理员账号密码是admin/admin123，从2018年上线就没改过。不是没人提醒，是每次安全巡检报告都写着“建议修改”，但运维排期永远排不上——因为“系统没出过事”。直到某天有人用这个账号登录进去，把整个研发中心的源代码打包拖走了。事后复盘时才发现，VPN日志里那个IP地址早就出现了七次，每次都选在凌晨两点到四点之间。没人看日志，因为日志系统本身也忘了续费，告警功能早在半年前就停了。

漏洞分很多种。有一种是技术上的，比如SQL注入、越权访问、缓冲区溢出。这些有CVE编号，有补丁，有修复指南，像感冒药一样明码标价。但真正要命的是另一种——流程上的漏洞。它们没有编号，不会出现在扫描器报告里，甚至写不出一个具体的POC。比如“上线流程要求安全审批，但紧急修复时可以跳过”——这句话写在制度文档里，看起来没什么问题，可一旦出了紧急事故，谁还记得要补审批？等风头过了，那个临时绕过的权限就永远留在那儿了，像一根没拔的针头。

我自己也犯过类似的错。去年写了个内部工具，为了方便调试，留了个后端接口，没有做鉴权。当时想着“反正内网，问题不大”，后来工具上线了，接口忘了删。直到几个月后做渗透测试，同事拿着那个接口直接读到了数据库里的用户手机号。他开玩笑说这是“送分题”，我笑不出来。那个接口就在那儿，像一扇没锁的门，不是门锁坏了，是压根没人记得这扇门存在过。

所以我现在看漏洞报告，第一眼不看技术细节，先看时间线。从漏洞引入到被发现，中间隔了多久？这期间有没有任何告警被忽略？有没有人提交过“疑似异常”的工单但被打回？大多数时候，漏洞不是被黑客攻破的，是被自己的流程漏掉的。黑客只是那个最后按了门铃的人，门从来就没锁上过。

说到底，安全不是一道数学题，做完就完了。它更像打扫房间——你永远不可能把灰尘彻底消灭，只能尽量让它别堆积在没人注意的角落。而最危险的灰尘，往往藏在那些你以为“早就处理过”的地方。