90%服务器漏洞源于3类配置疏漏

　　昨天运维又喊我起来补漏洞，说是被扫出高危端口了——我原以为又是哪个新上线的服务没关调试接口，结果查日志发现是三年前部署的某个旧API，配置文件里还留着测试用的SSH密钥。鼠标垫卷边了，我扒拉半天才把键盘推回去，盯着屏幕直乐：这他妈不就是那篇报告说的「90%漏洞源于三类配置疏漏」吗？第一类就是这种「历史遗留权限」，像仓库卷帘门吱呀响似的，平时没人注意，哪天突然卡住才想起来该上油。

　　上周刚跟测试组吵过一架。他们非说新接口的鉴权逻辑太复杂，影响压测数据——结果上线当天就被爬虫抓了十万次调用，直接把数据库连池打崩。饮水机在旁边咕嘟响，我指着监控图骂：「看见没？这就是第二类疏漏——权限粒度太粗！要么全开要么全关，跟工厂里那帮二货设库存警戒线似的，要么断货要么压三百件货在仓库，就没有中间状态？」测试主管叼着棒棒糖翻白眼：「那你倒是写清楚文档啊，上次你写的『酌情调整』，谁他妈知道酌情是调0.1还是调10？」

　　第三类最隐蔽，也最要命——默认配置。去年双十一前夜，我们有个支付回调接口突然报502，查半天发现是Nginx的worker_connections默认值设成了512，被突发流量冲爆了。风扇把快递单吹到地上，我蹲下去捡的时候突然想起：这接口在测试环境跑了半年都没问题，怎么一到生产就挂？后来才发现测试环境的并发量从来没超过300，而生产环境...呵，去年黑五那波流量，直接把阿里云SLB的QPS干到预警线。运维小哥后来跟我说：「你们开发写配置就跟工厂贴标签似的，默认值能用就行，谁管它能不能扛住真实场景？」

　　说到工厂，上个月去东莞盯货，发现他们生产线上的PLC控制器居然还在用192.168.1.x的默认网段。我举着手机拍照片给安全组发过去：「看见没？这就是典型的配置懒癌！但凡改个子网掩码，也不至于被隔壁厂的小孩用WiFi万能钥匙连进来改参数。」安全组回了个捂脸的表情：「我们早提醒过，但采购说换设备要加钱，老板不肯批...」饮水机又开始咕嘟，我突然想起自己电脑里还存着五年前的Docker镜像，里面说不定还留着root密码123456——赶紧切回去查，果然，三个旧服务还在用弱口令。

　　其实最讽刺的是，我们去年花二十万买的WAF，结果被绕过的次数比拦截的还多。安全总监在群里发战报：「本周拦截SQL注入攻击12万次」，我私聊他：「知道有多少是误报吗？上周运维为了处理WAF误封，把整个API网关的限流阈值调高了三倍，结果直接导致支付接口超时率涨到5%——这他妈算安全还是算事故？」他回了个苦笑的表情：「所以现在我们都建议客户把WAF调成观察模式，真要防攻击还得靠配置规范...」

　　跟卖那帮孙子最近也在玩配置漏洞。他们用爬虫抓我们Listing的变体关系，然后批量上架低配版抢流量——我们法务发律师函的速度，还赶不上他们换域名的速度。运营主管拍桌子：「必须把变体信息加密！」我指着API文档：「加密可以，但前端得改调用方式，测试得重写用例，运维得扩容缓存...」他抓起桌上的胶带就往我身上扔：「那你们开发就不能把默认配置改严格点？非等着被薅羊毛才想起来补？」

　　我原以为只有小公司会犯这种低级错误，结果去年帮某头部大厂做安全审计，发现他们核心业务的Redis居然没设密码——就靠内网IP隔离。我问他们CTO：「不怕运维误操作？」他叼着烟笑：「我们运维都是十年老兵，比你们开发靠谱多了。」结果三个月后，某个实习生误删了/etc/hosts文件，导致整个集群宕机六小时，直接损失八位数。后来他们花两百万请了外部安全团队，得出的结论和那篇报告一模一样：90%的漏洞，都是配置疏漏。

　　现在我最怕的是两种人：一种是死活不肯改默认配置的「老炮儿」，觉得「我用了十年都没出事，凭什么要改」；另一种是乱改配置的「愣头青」，把timeout设成0导致连接泄漏，把日志级别调成DEBUG把磁盘撑爆。上周还有个新来的实习生，把数据库的max_connections直接设成65535——结果MySQL启动时直接OOM，整个服务挂了半小时。我查日志的时候，运维小哥在旁边叹气：「这孩子要是去工厂，估计能把流水线参数调成负数...」

文章配图，仅供参考

　　昨天看安全组发的月报，说本月拦截了300万次攻击，其中80%是针对弱口令和默认配置的。我把报告转发到开发群，没人说话——估计都在默默检查自己的代码。风扇还在吹，快递单又掉了一地，我蹲下去捡的时候突然想：要是哪天所有配置都能像工厂里的流水线一样，自动检测、自动修复、自动报警，那该多省心？但转念一想，真要那样，我们这些API开发员，怕是要集体失业了...

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!