漏洞怎么处理

去年十月，漏洞处理我们团队负责的漏洞处理一个电商平台在凌晨两点被拖走了一万三千条用户数据。攻击者没用什么高级手段，漏洞处理就是漏洞处理钻了一个短信验证码接口的频率限制漏洞——每分钟可以无限制调用，验证码还只有四位数字。漏洞处理事后复盘，漏洞处理大家盯着日志里那串每秒两百次的漏洞处理请求记录，沉默了很久。漏洞处理

漏洞这件事，漏洞处理从来不是漏洞处理“有没有”的问题，而是漏洞处理“什么时候被谁翻出来”的问题。你写代码时偷的漏洞处理那点懒，最终会变成别人手里的漏洞处理钥匙。我见过一个后台管理系统，漏洞处理登录接口的漏洞处理密码比对用的是字符串直接比较，连哈希都没做。开发图省事，测试没覆盖，上线三个月后数据库里多了一张勒索信截图。

处理漏洞的第一步，不是修，是先搞清楚它到底能造成多大破坏。很多团队一发现漏洞就急着打补丁，结果补丁本身又引入新的问题。我的习惯是：先复现，再评估。复现要精确到请求参数、网络环境、时间窗口。评估要看这个漏洞能触达哪些数据、绕过哪些权限、是否需要组合利用。一个越权读取订单的漏洞，如果只能读到自己的订单，那叫逻辑瑕疵；如果能读到全站订单，那就是重大事故。

接下来是止血。止血不等于修复，而是先把攻击面关掉。比如那个短信接口，最粗暴的做法是直接下线，但业务会投诉。折中方案是在网关层加一个临时规则：同一手机号每分钟最多三次，同一IP每分钟最多二十次。这不能根治，但能争取时间。我见过更极端的例子，一个金融App发现支付回调签名可伪造，运维直接切断了外网回调入口，宁可让用户手动补单两天，也不让攻击者继续刷。

修复本身要分优先级。不是所有漏洞都值得立刻投入人力。我的判断标准有三条：能直接拿到敏感数据的、能绕过核心权限的、已经被在野利用的——这三类必须当天出方案。剩下那些需要复杂前置条件才能触发的，可以排进迭代。但有一条铁律：修复方案必须经过代码审查和回归测试。我见过一个团队修SQL注入，把参数化查询改成了手动转义，结果漏了反斜杠场景，漏洞换个姿势又活了。

修完之后才是真正麻烦的部分——验证和监控。验证不能只靠开发自测，要写自动化用例，要模拟攻击者的请求序列。监控则要盯住修复点附近的异常流量。有一次我们修了一个文件上传漏洞，加了后缀白名单，结果两周后发现有人在上传正常图片时夹带恶意脚本，利用的是图片解析库的漏洞。这说明修复要覆盖整个攻击链，不能只堵一个点。

最后说点实在的。漏洞处理最怕两种心态：一种是“这个漏洞没人会注意到”，另一种是“修了就行，不用管为什么会有”。前者导致拖延，后者导致重复踩坑。我现在的习惯是，每修一个漏洞，就在团队知识库里写一条记录：漏洞类型、触发条件、修复方式、后续预防措施。半年下来，这份记录比任何安全培训都管用。

漏洞不会消失。你只能比攻击者快一步，并且确保自己下次不会在同一个地方摔倒。