绿盟检查

绿盟那台设备的绿盟检查告警灯亮起来的时候，运维老周正在楼下抽烟。绿盟检查手机弹了条短信，绿盟检查他骂了一句，绿盟检查烟头往地上一摁就上了楼。绿盟检查屏幕上一排红色，绿盟检查全是绿盟检查内网横向渗透的痕迹。攻击源IP指向一台财务部的绿盟检查旧电脑，那台机器三个月前就该报废了，绿盟检查不知道被谁又插上了网线。绿盟检查

这就是绿盟检查绿盟检查最典型的开场。不是绿盟检查电影里那种黑客敲几行代码就攻破一切，现实里的绿盟检查安全事件往往土得掉渣——一台忘了下线的老设备，一个没改的绿盟检查默认密码，一封标题写着“六月工资表”的绿盟检查钓鱼邮件。绿盟的人来了之后，先没碰键盘，绕着机房走了一圈，拿手机拍了几张照片。机柜后面缠成一团的网线，落灰的交换机，还有贴在墙上的WiFi密码，写得清清楚楚。他转头问老周：“这密码多久没换了？”老周说从搬进来就没换过。对方点点头，在平板上记了一笔。

很多人以为安全检查就是扫漏洞、跑工具。工具当然要跑，绿盟的扫描器往网段里一扔，几分钟就吐出一份清单。但清单上那些CVE编号，业务部门的人看不懂，也不关心。真正让老周冒汗的是后面那步：绿盟的人挑了一台对外服务的Web服务器，没用什么高级漏洞，就试了试弱口令，admin/admin，进去了。然后他坐在那台机器上，慢悠悠地翻配置文件，找到了数据库的连接串，明文密码。整个过程不到十分钟。老周站在旁边，脸色从红到白。

“你们这个系统，外包公司写的吧？”绿盟的人问。老周说是，三年前做的，后来维护合同没续。对方没再说什么，把证据截图存好，继续往下查。这种场景他见得太多了。很多单位的安全投入是“出事驱动型”——被拖库了才想起买WAF，被勒索了才做备份。绿盟的检查报告里有一项叫“管理脆弱性”，说白了就是看人靠不靠谱。比如有没有人离职了账号还留着，比如开发把测试环境直接暴露在公网，比如运维图省事把密码写在便签上贴显示器边框。这些事扫描器扫不出来，但攻进来的人最喜欢。

下午的反馈会，绿盟的人没念PPT，直接开了个终端，把上午的入侵路径重放了一遍。从弱口令进Web服务器，到读配置文件拿数据库密码，再到用数据库权限写文件拿shell，最后提权到系统管理员。每一步都配着实际的命令和输出。会议室里没人玩手机。讲完之后他补了一句：“这套路径，三年前的渗透测试报告里就写过，你们没改。”老周后来跟我说，那句话比任何漏洞详情都扎心。

检查结束那天，绿盟的人留了一份整改清单，按优先级排了序。排第一的不是什么高级漏洞，是“清理离职人员账号”和“修改所有默认口令”。老周照着做，花了两天。他说原来最要命的东西，往往最便宜就能解决。后来那台财务部的旧电脑被搬走了，机柜后面的线也重新理了一遍。告警灯没再亮过。但老周手机里多了个绿盟的号码，他说留着，心里踏实点。