90%服务器漏洞源于三类配置疏漏

　　去年11月那场攻防演练，我原以为最该防的是零日漏洞，结果三天下来，安全组抓的漏洞里八成都是配置问题——开发说“这锅我不背”，运维说“需求文档没写清楚”，产品经理蹲在机房角落刷手机，空调外机嗡嗡响，震得我笔记本屏幕都在抖。后来复盘时安全总监拍桌子：“90%的服务器漏洞，就他妈三类配置疏漏！”我当时还想这数是不是拍脑袋的，结果翻日志发现，还真是优胜劣汰——那些没被攻击的服务器，配置项里这三类疏漏要么没有，要么被其他配置兜底了。

　　第一类是权限配置，属于“我以为你懂”的典型。比如有个服务接口，文档里写着“仅限内部调用”，结果运维给配了“允许所有IP访问”——开发说“这接口是给测试用的，测试环境IP池没更新”，运维说“需求文档没标‘仅限内网’”，产品经理突然插话：“哦对，上周需求变更时我口头说过要限制IP，但PRD没改。”这时候安全组小王翻出日志：“攻击者就是从这个接口扫的，扫了十八次才扫通。”我盯着屏幕上的时间戳，发现第一次扫描时，运维正在接老婆电话，说“今晚加班不回家吃饭”，手一抖可能就点错了配置选项。

　　第二类是默认配置，属于“我以为你改了”的经典。有个新上线的中间件，官方文档里写着“生产环境必须关闭调试模式”，结果运维直接用了默认配置——因为“安装向导里没标红，我以为不用改”。攻击者就是通过调试接口拿到了内存快照，里面全是未脱敏的用户数据。安全组老张指着日志冷笑：“这中间件都出三年了，默认配置没变过，你们居然没人发现？”开发挠头：“我原以为运维会改，运维说‘开发没提’。”这时候产品经理的外卖到了，是麻辣香锅，辣得他直抽鼻子，说“这锅我背一半，需求评审时确实没强调”。

　　第三类是版本兼容配置，属于“我以为你测了”的玄学。有次升级数据库，运维按文档改了连接池参数，结果新版本和旧客户端不兼容，导致部分请求被丢弃。攻击者趁机发起慢速攻击，把连接池占满后，正常请求全被拒绝服务。安全组小李翻着抓包数据：“攻击流量每秒才三百七十二字节，但持续了七个小时，你们居然没发现？”运维拍桌子：“我测了！本地环境没问题！”开发翻白眼：“本地环境用的是新客户端，生产环境一半用户还在用旧版。”产品经理突然说：“哦对，上周用户反馈旧版有问题，我让开发先别急着推新客户端——但没同步给运维。”这时候机房的空调突然停了，热得所有人开始扯领带。

　　最离谱的是，这三类疏漏往往互相兜底。比如权限配置错了，但默认配置关了调试接口，攻击者扫不到；或者版本兼容配置有问题，但权限限制了访问IP，攻击者进不来。可一旦其中一类出问题，另外两类就像多米诺骨牌——安全组总监说：“这就是优胜劣汰，配置错的服务器早被攻击者筛掉了，剩下的都是‘幸存者偏差’。”我听着想笑，但想起上周灰度发布时，开发说“先这样吧”，运维说“没问题”，产品经理说“按这个版本上”，结果灰度两天就被安全组叫停——原来也是权限配置漏了。

　　现在我最怕的是需求变更时，产品经理说“这个配置先不改，等下版本”——因为下版本可能永远不会来。上周安全组又抓了个漏洞，是半年前需求变更时，运维口头答应“后面补配置”，结果忘了。攻击者通过这个漏洞提权，差点把整个集群拖垮。复盘时产品经理说：“我当时以为运维会记在备忘录里。”运维说：“我以为产品会写进PRD。”开发说：“我以为你们会同步。”我盯着屏幕上的漏洞时间戳，发现那天下午三点，产品经理在会议室接了个电话，是老板问“DAU怎么跌了”，他回“马上改”，然后就把配置变更的事抛脑后了。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!