网站漏洞报告

上周三晚上十一点，网站我收到一条服务器告警短信。漏洞登录后台一看，报告某电商平台的网站用户表正被批量拉取，每秒两百条记录往外流。漏洞攻击者用的报告是SQL注入，参数里塞了句UNION SELECT，网站直接把密码哈希全拖走了。漏洞这不是报告什么高深手法，OWASP Top 10里躺了十几年的网站老毛病。

漏洞出在搜索框。漏洞开发图省事，报告拼了字符串查询，网站没走参数化。漏洞我翻了代码提交记录，报告这行SQL是半年前写的，当时代码评审还通过了。没人觉得一个搜索框能出大事——直到数据库里三万条手机号和身份证号被扒干净。

修复只花了二十分钟。预处理语句一换，注入直接失效。但善后折腾了三天，给用户发道歉邮件，配合网警报案，还得自查其他接口有没有类似问题。查下来发现，后台导出功能也有个文件上传漏洞，能传PHP脚本上去。幸好没被利用，否则服务器直接变肉鸡。

这类事我见多了。小公司缺安全预算，大公司流程臃肿补丁慢。去年某知名社交平台被拖库，原因是开发环境配置泄露到公网，数据库密码还是admin123。你说这是技术问题？不如说是管理问题——没人把安全当回事，直到出事。

有意思的是，大部分漏洞不是黑客挖出来的，是扫描器扫出来的。我习惯每季度跑一遍sqlmap和nuclei，但多数团队连这步都省了。他们更愿意买云盾、WAF，觉得堆设备就安全了。可WAF拦得住已知攻击，拦不住业务逻辑漏洞——比如越权访问，改个ID就能看别人订单那种。

说个真实的：某政务网站，预约系统里用户ID是自增的。把id=1001改成1002，就能看到别人的姓名、手机号、预约时间。没有加密，没有鉴权，纯粹靠前端把按钮藏起来。这漏洞我报了三次，半年后才修好，理由是“排期紧张”。

别迷信“等保三级”或“ISO 27001”证书。那只是合规门槛，不代表真安全。我见过拿了认证的公司，内部代码仓库权限全开，任何员工都能改生产配置。真正的安全是持续性的：定期渗透测试、代码审计、日志监控。但大部分公司连日志都只保留三天，出了事想溯源都难。

最后说点实在的。如果你是开发者，记住三条：输入永远不可信，输出必须编码，权限每次都要查。如果你是老板，别把安全当成本，当投资。一次数据泄露的赔偿金，够养三个安全工程师十年。这账，谁算谁知道。