三方机构服务器漏洞扫描

凌晨两点，构服我在值班室盯着屏幕，漏洞某知名电商平台的扫描第三方支付接口突然弹出一条告警——扫描器在它们的服务器上发现了一个未修补的Apache Struts2漏洞。这个漏洞，构服CVE-2017-5638，漏洞已经公开了六年。扫描但这家服务商显然没当回事。构服我立刻拨通了对方技术负责人的漏洞电话，那边传来睡意朦胧的扫描声音：“不可能吧，我们上个月刚做过等保测评。构服”

等保测评过了，漏洞不代表安全就到位了。扫描这是构服我在三方机构干了三年漏洞扫描后最深的体会。所谓“第三方机构”，漏洞就是扫描独立于甲方和监管之外的检测方，我们拿着扫描器、渗透工具和一套检查清单，去敲开一家家企业的服务器大门。但门后往往不是想象中固若金汤的城堡，而是堆满灰尘的后花园。

上个月扫描一家做供应链管理的SaaS公司，对方IT主管拍着胸脯说系统都是最新版本。结果我们用了十分钟，就通过一个被遗忘的测试接口——管理员留下的备份文件路径——直接拿到了数据库权限。那台服务器上跑着他们几百家客户的订单数据。主管的脸当场就白了，嘴里嘟囔着：“这个接口是三年前开发时临时用的，后来忘了删。”

忘了删，这三个字是漏洞扫描报告里出现频率最高的原因。不是攻击者多高明，而是企业自己给自己留了太多后门。扫描器能发现的是已知漏洞，但真正危险的是那些没人记得的“影子资产”——比如一个挂在公网上的旧版测试环境、一个离职员工没注销的云主机账号，或者一个被开发人员顺手关掉了日志功能的防火墙。

有一次去一家物流公司做扫描，他们的运维经理特别配合，主动给了我们所有服务器的IP清单。但我们扫描时发现，还有五台服务器不在清单上，其中三台开着远程桌面端口，密码是“Admin@123”。后来一问才知道，那是业务部门私自采购的机器，根本没走IT审批流程。这种“影子IT”在中小型企业里简直遍地都是，IT部门管不到，安全部门看不见，最后全靠我们这种外部扫描来兜底。

更让人头疼的是漏洞修复的“踢皮球”现象。扫描报告交上去，开发说这是运维的服务器配置问题，运维说这是开发写的代码漏洞，两边吵到最后，漏洞就晾在那儿。去年给一家做在线教育的客户扫描，发现他们的文件上传接口存在任意文件写入风险，报告写得清清楚楚，连修复代码示例都给了。三个月后复测，漏洞原封不动——因为那个接口的负责人已经离职了，新接手的人说“这模块不是我们组的”。

所以我现在做扫描，不光看技术层面，还得看组织流程。我会在报告里直接点名：这个漏洞为什么没修？是没人负责，还是没排上优先级？有时候客户觉得我越界了，但我宁可当那个讨人厌的“第三方”，把话说透。毕竟漏洞扫描这件事，扫描器只是工具，真正扫的是企业的管理漏洞和人的惰性。

话说回来，也不是所有客户都这样。上周给一家做医疗器械的厂商做扫描，对方的安全团队凌晨三点还在跟我们同步进度，第二天早上就把高危漏洞的补丁打上了。那种感觉，就像你在黑漆漆的隧道里突然看见对面有人也举着火把在走。做我们这行的，最怕的不是漏洞多，而是对方觉得“扫完了就安全了”。扫描报告不是终点，是起点。可惜很多企业把这当成了交作业，签个字就锁进抽屉里。

现在每次出报告，我都会在最后附上一句：请在下一次扫描前，确认你们真的修了该修的东西。这句话，比报告里任何一条漏洞描述都重要。