漏洞日报

昨天凌晨三点，漏洞日报我盯着Burp Suite的漏洞日报响应包，一个SQL注入点就这么赤裸裸地躺在那里。漏洞日报`id=1' AND 1=1--` 返回正常，漏洞日报`id=1' AND 1=2--` 返回空白。漏洞日报网站是漏洞日报个地方政务服务平台，备案信息齐全，漏洞日报首页挂着"安全防护体系认证"的漏洞日报标识。讽刺的漏洞日报是，这个注入点就在登录接口上。漏洞日报

我截了图，漏洞日报发给在甲方做安全的漏洞日报朋友。他回得很快："这系统我熟，漏洞日报去年刚过等保三级。漏洞日报"然后补了一句，漏洞日报"修是修了，估计只修了扫描器报的那几个。"这话听着耳熟。太多团队把安全当考试，扫描器是判卷老师，过了就万事大吉。可攻击者不按考纲出题。

补丁追不上漏洞的速度

上周CVE-2024-3400在PAN-OS里炸开的时候，我翻了下某漏洞库的统计：从PoC公开到大规模利用，平均窗口期不到72小时。厂商发通告、推补丁、企业测试、排期上线，这套流程走完，黄花菜都凉了。更别说那些用着EOL设备的，厂商连补丁都不发了，运维只能靠WAF规则硬扛。规则是死的，绕过是活的。

有个做红队的朋友跟我聊过，他们现在最爱打的是供应链。不是0day那种高级货，就是开发人员图省事引入的第三方库。一个npm包，上次更新是三年前，周下载量两万，里面藏着反序列化。谁去审？没人审。CI/CD流水线跑得飞快，安全卡点形同虚设。他说这话时在抽烟，烟灰弹进一次性咖啡杯里，"你知道最离谱的是什么？那个库的GitHub issue里早有人提了，维护者回了个'PR welcome'，然后就没了下文。"

日志里的鬼故事

我习惯在半夜翻日志。白天太吵，告警刷屏，真的假的混在一起。夜里安静，异常流量像水底的石头，一眼就能看见。上个月在一台对外服务的Nginx上，发现每天凌晨两点十七分，固定有一个IP来扫`/api/v1/user/export`。返回全是403，但请求头里的`X-Forwarded-For`每次都在变。明显是在试探，看哪条路径没鉴权。持续了十一天，然后停了。第十二天，另一个IP开始扫`/api/v2/user/export`。他们换了个版本号。

这事儿我跟客户提了，对方问："封IP有用吗？"我说没用，分布式扫描，封一个来十个。他又问："那怎么办？"我说把接口鉴权补上。他沉默了一会儿，说排期在下个迭代。下个迭代是三个月后。这三个月里，那个接口就是敞开的。我只能帮他加条WAF规则，把`/export`路径全拦了。但我知道，这只是把门堵上，窗户还开着。

人是最短的木板

技术漏洞好修，流程漏洞难补。我见过太多"先上线再说"的项目，安全评审走个过场，渗透测试报告锁在共享盘里没人看。开发觉得安全是安全部门的事，安全部门觉得开发不配合，运维觉得两边都在瞎折腾。最后出了事，一起背锅。

有个细节我印象很深。某次应急响应，我在服务器上发现了一个`test.php`，里面是``。创建时间是两年前，权限777。问开发，开发说当时调试用的，忘了删。两年，七百多天，这个后门就一直在那儿。扫描器没扫到？扫到了，但被标记为"低危-测试文件"，没人处理。低危？`eval`叫低危？

漏洞日报不是要吓唬谁。只是每天都有新的洞在冒出来，旧的洞在被人遗忘。你修你的，他挖他的。这场游戏没有终局，只有下一轮。今晚我继续看日志，希望那个`/export`接口别出现在明天的报告里。但我知道，大概率还会在。