90%服务器漏洞源于3类配置疏漏

　　去年十月那波漏洞复盘会，我原以为又是老生常谈的"补丁没打全"，结果运维老王拍着桌子说："90%的锅得让配置背！"当时会议室空调坏了，我擦着汗看PPT里那张漏洞类型分布图——权限管理、服务端口、证书过期，三大类占了九成。老王叼着烟说："你们测试天天测代码，可服务器怎么配的，你们真摸过？"我当场想怼回去，结果他调出三个月的漏洞工单，好家伙，还真是这三类占大头。

　　先说权限管理。上周三凌晨三点，我蹲在机房改测试环境配置，隔壁工位的小李突然喊："谁动了/etc/sudoers？"原来他给测试账号加了sudo权限，结果被渗透测试组抓到——那账号密码还写在共享文档里！更离谱的是，生产环境的Nginx配置文件，权限居然是777，我查日志发现是三个月前某个实习生改的，说是"方便调试"。后来老王说："这类问题占漏洞的45%，你们测代码时根本发现不了，得盯着配置文件权限。"可问题是，谁有精力每个配置项都查权限？我们组现在用Ansible自动化检查，但总有人绕过流程手动改。

　　再说服务端口。上个月测一个新上线的API服务，我扫了眼端口列表——除了80和443，居然开了22、3306、6379。当时下雨，我举着伞去运维办公室问："这些端口是干嘛的？"运维小哥正啃煎饼果子，含糊说："开发说要连数据库调试。"结果渗透测试组直接通过3306提权，把测试数据全删了。后来复盘，发现是开发在测试环境开了端口，运维没关就推到生产。老王说："这类占30%，你们测功能时根本不关心端口，可黑客就盯着这些敞开的门。"现在我们在测试环境强制用防火墙规则，但开发总抱怨"影响调试效率"。

　　证书过期最搞笑。去年双十一前夜，我们组熬夜测支付接口，结果测试环境HTTPS报错。我查证书发现过期三天了，打电话给运维，对方迷迷糊糊说："啊？我以为测试环境不用管证书..."更绝的是，生产环境的某个子域名证书过期两周，监控没报警，用户也没反馈，直到渗透测试组扫出来才被发现。老王说："这类占25%，你们测功能时只看页面能不能打开，谁去查证书有效期？"现在我们用Let's Encrypt自动续期，但总有些自签证书没人管，上次还因为证书链不完整被浏览器拦截。

　　那天散会时，老王扔给我一份配置检查清单，说："照着这个测，比测代码管用。"我翻开第一页，第一条是"检查所有配置文件权限是否为640"，第二条是"关闭所有非必要端口"，第三条是"证书有效期小于30天报警"。我抬头问："这些不应该是运维的活吗？"老王冷笑："运维要是靠谱，我们还用在这扯皮？"现在我们组把配置检查纳入测试用例，虽然开发总抱怨"增加工作量"，但漏洞确实少了——上个月只发现两个，都是因为有人偷偷改了配置没同步。

　　不过说真的，这些配置问题真比代码漏洞难搞。代码有单元测试、有CI/CD，可配置呢？全靠人工检查，还总有人"临时改一下"。上周五下班前，我发现测试环境的Redis没设密码，问是谁干的，开发说："就临时用两小时，用完就关。"结果周末渗透测试组直接通过Redis提权，把测试数据库删了。现在我们在测试环境也加了密码，但开发又抱怨"每次重启都要输密码，麻烦"。我原以为配置问题都是低级错误，结果发现是"人性问题"——大家总觉得"我就改一下，不会出事"，可偏偏就是这些"一下"，成了漏洞的温床。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!