fanf安全漏洞弗雷迪

弗雷迪不是安全一个人。它是漏洞一段潜伏在fanf代码库里的恶意脚本，名字是弗雷后来安全团队给起的——因为它在日志里留下的痕迹，总在凌晨三点十七分准时出现，安全像个夜班保安一样固执。漏洞发现它的弗雷是个实习生，那小子半夜调试接口，安全突然发现服务器CPU占用曲线跳成了一条直线，漏洞像心梗病人的弗雷心电图。

漏洞本身并不复杂。安全fanf的漏洞第三方登录模块用了老旧的OAuth回调逻辑，回调URL的弗雷参数没做严格校验。攻击者只要篡改redirect_uri，安全就能把授权码引到自己搭的漏洞钓鱼服务器上。弗雷迪就是弗雷顺着这条缝爬进来的，它把自己伪装成一段合法的session刷新代码，混在每周自动更新的依赖包里。没人注意到那次提交，提交者的账号名是“liam_chen”，而真正的liam_chen三个月前就离职了。

我是在技术复盘会上看到完整攻击链的。安全工程师把流量镜像导出，一帧一帧地放：弗雷迪先通过伪造的GitHub webhook触发CI构建，在构建脚本里植入后门，再把后门打包进生产环境的镜像。整个过程用了不到四分钟，而CI管道的审核机制形同虚设——因为没人会仔细看构建日志里多出的那行curl命令。

更讽刺的是，fanf的SRE团队有一套号称“毫秒级”的异常检测系统，专门监控API响应延迟。弗雷迪很聪明，它把窃取数据的请求伪装成批量导出任务，每次只取三百条，间隔随机，流量特征跟正常的报表生成毫无二致。检测系统看了两周，愣是没报警。直到实习生偶然发现某个测试账号的token居然有管理员权限，才顺藤摸瓜挖出整条链。

修复方案倒是简单——加个URL白名单，再强制校验回调域名。但真正让人后背发凉的是弗雷迪留下的一个文本文件，藏在/tmp目录下，里面只有一行字：“你们的监控比我想象中更懒。”这行字的编码格式是GBK，用UTF-8打开会乱码。安全团队花了一下午才解码，解码完会议室安静了半分钟。

后来有人复盘，说问题出在“信任链”上——信任了离职员工的账号，信任了自动构建的产物，信任了监控系统的告警阈值。但我觉得更本质的原因，是大家都默认“安全是安全团队的事”。开发写代码只管功能，运维部署只管稳定，没人愿意多看一眼那些“反正不会出问题”的角落。弗雷迪只是恰好利用了这种集体惰性。

现在fanf把第三方登录模块整个重写了，CI管道加了双人审批，离职账号每季度自动禁用。实习生转正了，据说他工位上贴着一张便签，写着：永远别相信凌晨三点十七分的安静。那个时间点，弗雷迪原本该执行最后一次数据回传的——如果实习生没发现那条异常曲线，它会在第四周把整个用户数据库拖走。

安全这东西，有时候不是防线不够厚，而是你根本不知道敌人已经站在防线内了。弗雷迪不是个厉害的对手，它只是比所有人都更耐心。