机关单位网站网络漏洞整改报告

机关单位网站网络漏洞整改报告

3月12日凌晨，机关某市发改委门户网站的单位数据库日志里出现了一连串异常查询记录。安全监测平台显示，网站网络有人在短短40分钟内尝试了超过2000次SQL注入攻击，漏洞其中有17次突破了基础防护层。整改这不是报告孤例——过去半年，我市直属机关单位网站累计被扫描出高危漏洞46个，机关其中11个属于可被直接利用的单位远程代码执行漏洞。

我们连夜对全部38个机关单位网站做了全面体检。网站网络结果不太好看：70%的漏洞网站存在版本过旧问题，某区民政局的整改网站还运行着2016年就停止维护的内容管理系统，后台密码竟然还是报告默认的admin/123456。还有个细节让我印象很深——某单位网站的机关上传功能没有做任何文件类型校验，理论上任何人都能传个webshell上去，单位等于把服务器钥匙挂在门口。网站网络

整改工作分了三步走。第一步是关停整改，对4个漏洞风险极高的网站先断网处理，避免带病运行。第二步是强制升级，所有网站必须在一个月内把系统版本更新到官方支持的最新版，同时更换所有默认口令和弱口令。这里有个实际问题：不少单位的技术外包人员早就联系不上了，我们只能协调政务云服务商帮忙批量操作。

第三步是堵住最要命的入口。所有网站统一接入市级WAF（Web应用防火墙），把SQL注入、XSS跨站脚本、恶意文件上传这些常见攻击路径全部拦截在门外。同时要求各单位每季度做一次漏洞扫描，结果直接抄送分管领导。说实话，有些单位觉得麻烦，觉得“网站又没被黑过，瞎折腾什么”。但真等被黑了，数据泄露了，那可不是写份检查就能了事的。

整改期间有个典型案例值得说说。某区教育体育局的网站，漏洞扫描发现其使用的第三方编辑器存在任意文件上传漏洞，攻击者可以利用它直接获取服务器控制权。我们发函要求立即修复，结果对方回复说“编辑器是外包公司装的，我们不会弄”。后来还是我们派人过去，花了一个下午帮他们打补丁、设权限、改配置。这事挺讽刺的——一个管理着全区学校信息系统的单位，自身技术防护能力却如此薄弱。

截止4月底，38个网站全部完成第一轮整改，高危漏洞清零。但漏洞这东西，跟病毒一样会变异。新的攻击手法层出不穷，旧漏洞补上了，新漏洞可能又冒出来。所以第二轮的常态化监测已经启动，这次不光查网站本身，连关联的API接口、数据库、云存储配置都纳入了检查范围。

我个人的看法是，技术手段只能解决一部分问题，真正要命的是人的意识和流程。很多单位的网络安全责任人是兼职的行政人员，连漏洞报告都看不懂，更别说判断风险等级了。下一步我们计划搞一次实战化的攻防演练，不打招呼直接打，让各单位感受一下真实攻击的节奏。挨过打，才知道疼。