服务器漏洞

2017年5月12日，服务英国一名22岁的器漏安全研究员马库斯·哈钦斯在推特上发了一条消息：“哦，天哪。服务”配图是器漏一张截图，显示他的服务测试服务器上出现了勒索软件弹窗。他当时并不知道，器漏这个叫WannaCry的服务东西会在接下来72小时内感染全球超过20万台电脑。英国国家医疗服务体系被迫取消数千台手术，器漏德国铁路系统显示屏一片混乱，服务中国多所高校的器漏实验室电脑集体蓝屏。

漏洞从哪来的服务？美国国家安全局。他们早就发现了Windows系统的器漏SMB协议漏洞，没告诉微软，服务而是器漏自己写了个攻击工具叫“永恒之蓝”。后来这个工具被黑客组织“影子经纪人”偷走并公开。服务微软在两个月前发了补丁，但太多人没装。就这么简单。一个被刻意保留的漏洞，加上懒得更新系统的人，凑成了一场全球灾难。

我见过太多服务器跑着三年前的Linux内核，管理员说“稳定就行，别动”。这种心态比漏洞本身更可怕。漏洞不会因为你假装看不见就消失。它像墙里的白蚁，安静地啃食，直到某天整面墙塌下来。去年一家电商公司的数据库被拖库，排查后发现入口是一台边缘服务器上的Redis未授权访问漏洞。那台机器没人管，连防火墙规则都是默认的。攻击者从那里跳进内网，花了三周时间慢慢摸到核心数据。三周。日志里全是异常连接，没人看。

服务器漏洞分很多种。软件层面的，比如Log4j那个核弹级漏洞，一个日志库能让你整个Java应用变成攻击者的游乐场。配置层面的，比如把数据库端口直接暴露在公网，密码设成“123456”。还有人为的，比如开发人员把测试用的后门代码留在了生产环境。每种漏洞背后都对应着一种偷懒、一种侥幸、一种“应该没事吧”的自我安慰。

修补漏洞这件事，说难也难，说简单也简单。难在你要持续关注安全公告，要测试补丁兼容性，要在业务低峰期重启服务。简单在，只要做了，绝大多数攻击就挡在门外了。攻击者也是挑软柿子捏的，扫描器全网跑一遍，哪台机器没打补丁、哪个端口敞着，列表拉出来，逐个试。你的服务器如果在那张列表上，被攻破只是时间问题。

有个做运维的朋友跟我说过一句话：“服务器不会骗你。它要么安全，要么不安全。你觉得它安全，那是你觉得。”这话糙，但准确。漏洞不会自己消失，补丁不会自己安装，日志不会自己分析。你不动手，攻击者就动手。

WannaCry爆发后，微软破例给已经停止支持的Windows XP发了补丁。哈钦斯发现勒索软件有个“自杀开关”——一个没注册的域名，他花10美元注册下来，意外终止了病毒传播。但下一次呢？下一个漏洞呢？没人知道。唯一确定的是，服务器还在那里，漏洞还在那里，而攻击者从不休息。