2023年2月，绿盟绿盟科技发布了一则安全公告，防火编号NSFOCUS-SA-2023-02-001，墙漏涉及旗下多款防火墙产品的洞年远程命令执行漏洞。CVSS评分9.8，绿盟这个数字在安全圈里基本等于“炸了”。防火攻击者不需要认证，墙漏通过网络就能直接拿下设备控制权。洞年那几天我翻了不少客户群里的绿盟聊天记录，有人凌晨三点还在升级固件，防火有人直接拔了设备网线——这种反应不是墙漏过度紧张，是洞年懂行的人知道这意味着什么。

漏洞出在防火墙的绿盟Web管理接口。具体来说，防火是墙漏某个处理HTTP请求的组件对用户输入没做足够校验，攻击者构造特定请求就能注入系统命令。听起来是老套路？确实。但问题在于，绿盟的防火墙在国内政企市场装机量不小，尤其是那些把管理口暴露在公网上的——图省事，或者压根没意识到风险。我见过一家中型企业的运维，管理后台直接挂在外网，密码还是admin123。这种配置配上9.8分的漏洞，基本等于把钥匙插在门上还贴了张纸条写“欢迎光临”。

绿盟的反应速度算快的。2月14日发公告，同时放出了补丁。但补丁这东西，从来不是发出来就完事。我跟踪了大概两周的修复情况，发现一个挺有意思的现象：真正及时打补丁的，反而是那些安全团队配置齐全的大客户。中小客户呢？要么没看到公告，要么看到了但觉得“我这么小的目标没人盯着”。这种侥幸心理在安全圈里反复出现，每次出大事都有人后悔，但下次还是照旧。

说回漏洞本身。技术细节上，问题出在/cgi-bin/路径下的某个接口，参数没过滤就直接拼进了系统调用。攻击者发个POST请求，里面塞点;或者|，后面跟命令，就能执行。简单粗暴。我拿测试环境复现过，从发送请求到拿到shell，不到十秒。这种漏洞在代码审计里属于“一眼就能看出来”的级别，但偏偏就上线了。开发流程里的安全卡点，大概率是摆设。

那段时间还有个插曲。有人在GitHub上传了PoC，虽然很快被删，但截图已经传开了。紧接着就有人扫描全网找目标，Shodan上绿盟防火墙的指纹数量那几天明显波动。我认识的一个白帽子说，他随手扫了一个C段，就发现三台没打补丁的。这不是个例，是普遍现象。

厂商这边，绿盟后续发了几次更新，修补了相关代码路径，也加了输入过滤。但信任这东西，裂了就是裂了。客户群里有人直接说“下次采购得重新评估”。这话听着刺耳，但做安全的都明白——防火墙是最后一道防线，防线自己出问题，性质比普通应用漏洞严重得多。

我自己的判断是，这次漏洞暴露的不是单一代码缺陷，而是整个产品安全开发生命周期的短板。防火墙厂商自己写的代码，按理说应该经过最严格的安全测试，结果还是栽在命令注入这种“上古”漏洞上。要么是测试覆盖不够，要么是赶功能上线忽略了安全评审。无论哪种，都挺让人无语的。

最后说点实际的。如果你现在还在用受影响的版本，别犹豫，升级。管理接口别暴露公网，这是基本操作。再配上访问控制，只允许特定IP连管理口。这些措施不新鲜，但每次出事都证明，最基础的往往最容易被忽略。安全这事，没有捷径，只有细节堆出来的那点确定性。