TOP10漏洞

2017年某个凌晨，Equifax的数据库被拖走1.43亿条记录。事后调查发现，攻击者利用的是一个早就公布补丁的Apache Struts漏洞。那条补丁在3月发布，攻击发生在5月——中间隔了整整两个月，足够IT部门打八百遍补丁。但他们没打。这就是漏洞的真相：大多数所谓“高危”，不是技术多精妙，而是没人管。

OWASP每三年更新一次TOP10榜单，2021年版把“访问控制失效”顶到了第一位。这名字听着抽象，翻译成人话就是：你登录后能点开的页面，本该只有你能看，结果隔壁老王也能看。GitHub上有个经典案例——某电商网站用URL里的数字当订单号，改个数字就能看到别人收货地址。修起来就一行代码的事，但就是有公司不修。

第二名的“加密失败”更讽刺。2020年某银行APP被爆出明文传输用户密码，安全团队回应“我们用了HTTPS”。可抓包一看，密码字段在JSON里躺得明明白白，连Base64都没转。加密不是给服务器装个证书就完事，你得保证数据从手机到服务器全程是锁着的。很多开发者把“用了SSL”当免死金牌，却不知道SSL也有版本漏洞，TLS 1.0在2018年就被RFC 8996正式判了死刑。

“注入”排第三，但SQL注入的历史几乎和Web一样长。1998年Rain Forest Puppy写了第一篇SQL注入教程，二十多年过去了，2022年Still有公司把用户输入直接拼进查询语句。有个段子说：程序员分两种，一种被SQL注入搞过，另一种即将被搞。这不是技术问题，是习惯问题——预编译语句这种基础操作，大学课本第一册就教了。

第四到第十名分别是：不安全设计、安全配置错误、不安全组件、认证失效、数据完整性失效、日志监控不足、SSRF。注意“日志监控不足”排在第九，但Equifax事件里，攻击者潜伏了76天才被发现，期间系统日志里躺着大量异常流量警报。没人看日志，等于没日志。

我见过最离谱的案例是某政府网站，后台管理密码是admin/admin，登录后还能直接改数据库。安全审计报告写了三页纸，结论就一句话：“建议关闭互联网访问。”但项目验收早过了，没人愿意回头动代码。TOP10榜单每年都在变，但底层逻辑没变：漏洞不可怕，可怕的是知道漏洞却不动手。

话说回来，榜单本身也有局限。OWASP统计的是真实攻击数据，但很多攻击根本没被上报——公司怕丢脸，怕股价跌，怕被监管点名。所以你看，TOP10里列的是“已知的可怕”，真正的黑暗深处，藏着更多没上榜的怪物。下次有人跟你吹“我们过了等保三级”，你可以问问他：日志留存了多久？补丁平均几天打一次？答案多半会让他脸红。

技术圈有句糙话：漏洞是代码写的，但代码是人写的。人懒、人急、人粗心，于是漏洞永远补不完。TOP10不是圣旨，是面镜子。照出来的，全是开发流程、管理文化、甚至公司预算的短板。你说这榜单有啥用？至少它提醒你：别光盯着防火墙和WAF，先看看自家运维有没有在凌晨三点爬起来打补丁。