公安局打电话说网站有漏洞

接到公安局网安大队电话的公安时候，我正蹲在机房啃煎饼果子。局打对方开口就问：“你们网站是电话不是有个上传接口没做校验？”我差点把薄脆呛进气管。

事情是说网这样的——我们公司运营着一个本地生活论坛，日活不高不低，漏洞大概两三万。公安上周三下午，局打一个自称是电话市局网安支队的民警打来电话，说他们在日常扫描中发现我们网站存在文件上传漏洞，说网攻击者可以上传.jsp文件直接拿到服务器权限。漏洞“你们这个漏洞挂在互联网上，公安跟把钥匙插在门锁上没区别。局打”民警原话。电话

我第一反应是说网诈骗。现在冒充公检法的漏洞套路太多了，但对方没让我转账，也没让我提供验证码，而是直接报出了我们服务器的公网IP、操作系统版本，甚至指出了具体哪个参数没过滤——uploadFile字段只在前端用JS限制了后缀名，后端压根没检查。这水平，不像是骗子。

挂了电话我立刻登录服务器查日志。果然，过去三天里有十几个来自不同IP的请求，都在尝试上传.jsp和.war文件。最早的一次是凌晨两点十七分，对方先传了个test.txt，成功后又传了shell.jsp，状态码200。也就是说，我们的服务器被人拿下了三天，而我这个技术负责人浑然不知。

后背一阵发凉。赶紧翻文件目录，发现/upload下多了个cmd.jsp，内容是一句话木马。再查进程，有个java进程CPU占用异常，连着一个境外IP。我直接拔了网线，然后给民警回电话。对方说：“别急，先取证，我们这边有完整的扫描报告，你按报告里的修复建议来。”

修复过程不复杂，但丢人。后端加了个白名单校验，限制上传目录的执行权限，又把服务器上所有可疑文件清了一遍。民警后来还发了份《网络安全限期整改通知书》，要求七天内提交整改报告。我写报告的时候手都在抖——不是怕处罚，是后怕。要是那个木马被用来当跳板攻击内网，或者被挂上赌博页面，我这工作铁定没了。

事后复盘，漏洞怎么来的？半年前招了个实习生，写上传功能时图省事，只做了前端验证。代码评审我签了字，但没细看。这就是典型的“开发偷懒、测试漏测、运维不管”三连。民警说，他们每天扫描几千个本地网站，像我们这种中小型平台，十个里有三个存在类似问题。不是技术多难防，是压根没人管。

现在每次听到“公安局”三个字还是心里一紧。不过那通电话确实救了我——要是等黑客把数据全删了再发现，哭都来不及。后来我请民警来公司做了次安全培训，他讲了句话我记到现在：“你们觉得漏洞是技术问题，其实全是管理问题。代码是人写的，服务器是人管的，你不当回事，它就给你惹事。”

对了，那个实习生后来转正了。我让他专门负责安全测试，每天跑一遍扫描工具。他问我为什么这么严，我说：“你上次留的后门，差点让我去公安局喝茶。现在让你自己盯着，长点记性。”