漏洞分享

上周三晚上十一点，漏洞分享我正盯着屏幕上一条报错日志发呆。漏洞分享某个内部系统的漏洞分享接口突然返回了401，但权限配置明明没动过。漏洞分享排查到凌晨两点，漏洞分享才发现问题出在隔壁组三个月前上线的漏洞分享一个“小功能”上——他们为了调试方便，在代码里留了个硬编码的漏洞分享token，有效期设成了永久。漏洞分享这个token被某次日志输出带到了ELK里，漏洞分享然后被爬虫抓了个正着。漏洞分享整个链路，漏洞分享从漏洞出现到被利用，漏洞分享没超过72小时。漏洞分享

这让我想起更早之前的漏洞分享一次经历。某客户的漏洞分享核心数据库，用的是十年前部署的Oracle，补丁停留在2014年。他们觉得“内网隔离”就万事大吉，直到某台打印机被攻破，攻击者顺着打印机的网络口摸到了运维网段，再横向跳到数据库。整个过程没用到任何0day，全是公开的CVE和默认口令。事后复盘，最讽刺的是，那台打印机的固件更新里其实早就修复了漏洞，但没人去点那个“升级”按钮。

漏洞这东西，从来不是技术问题，而是管理问题。我见过太多团队把安全当成合规负担，每年做两次渗透测试，出份报告就束之高阁。报告里那些中危、低危条目，在开发排期里永远排不上号。可真正被攻击者利用的，往往就是这些“低危”——比如某个不再维护的旧接口，比如某个离职员工的账号没被禁用，比如某个测试环境直接映射到了公网。

说个更具体的例子。上个月某厂商的云存储桶配置错误，导致大量用户数据可公开访问。这算高危了吧？但厂商的回应是“该配置为默认设置，用户自行修改即可”。默认设置。这四个字背后，是无数个“我没动过配置”的普通用户。他们连对象存储和块存储都分不清，怎么可能知道自己的桶是私有的还是公开的？

所以我现在看漏洞报告，第一眼看的是“复现条件”而不是“危害等级”。危害等级再高，如果复现需要物理接触目标机器，那实际风险就是零。相反，一个看起来人畜无害的越权接口，只要一个普通用户权限就能遍历全量数据，那才是真正该睡不着觉的。漏洞的价值不在CVSS分数，在于它离攻击者有多近。

说到底，分享漏洞不是为了让谁难堪，而是想把那些藏在代码、配置、流程里的“理所当然”翻出来晒一晒。你觉得自己不会犯的低级错误，往往就是别人攻破你的入口。就像那个硬编码token，写代码的人只是图省事，谁能想到它会顺着日志流出去呢？

安全这行干久了，人会变得有点神经质。每次看到“简单”“快速”“临时”这几个词出现在代码注释里，我就知道，又一个漏洞正在孕育。但好在，漏洞分享的意义也正在于此——把那些“临时”的侥幸摊开来讲，下次再有人想图省事时，至少能想起这篇文字，然后多犹豫三秒。三秒，可能就够你把那个硬编码token换成密钥管理服务了。