内容摘要：上周五晚上十一点，运维老张在群里发了一张截图，公司内部CRM系统被扫出了十七个高危漏洞，其中三个可以直接拿到数据库权限。他配了句“今晚别睡了”。这不是演习，是真实发生的事。 内网漏洞的麻烦在于，它不像

上周五晚上十一点，内网运维老张在群里发了一张截图，漏洞公司内部CRM系统被扫出了十七个高危漏洞，修补其中三个可以直接拿到数据库权限。内网他配了句“今晚别睡了”。漏洞这不是修补演习，是内网真实发生的事。

内网漏洞的漏洞麻烦在于，它不像公网那样有防火墙挡着，修补很多公司默认“内网是内网安全的”，结果就是漏洞补丁不打、口令不换、修补服务随便开。内网等被勒索或者数据被拖走才想起来补，漏洞代价往往已经翻了十倍。修补

修补的第一步不是装补丁，而是先画一张资产图。你连自己内网有多少台机器、跑着什么服务都不清楚，谈何修补？我见过一家公司，IT部门报上来的服务器数量是八十台，结果扫描器跑完发现实际在线设备两百多台。多出来的一百多台哪儿来的？有员工私自搭的测试机，有早就废弃的旧服务器，还有一台是某个部门自己买的NAS，里面存着全公司的人事档案。先把这些“野生资产”揪出来，该关的关，该隔离的隔离，否则你补了A机器，B机器照样裸奔。

资产理清了，接下来按优先级打补丁。别想着一次全补完，那不现实。优先处理能直接被利用的漏洞，比如远程代码执行、SQL注入这种，尤其是那些暴露了管理端口的机器。我们当时定了个规矩：凡是能ping通且开放了3389或22端口的设备，48小时内必须完成补丁更新，否则直接断网。听起来粗暴，但有效。老张那晚先干的就是这个——把十七个漏洞里能直接getshell的五个先堵上，剩下的第二天再说。

光打补丁不够，口令问题得一起收拾。内网里“admin/123456”这种组合，我闭着眼都能猜到还有多少台在用。别嫌麻烦，强制要求所有内网设备开启密码复杂度策略，至少12位以上，关键服务器必须上密钥登录或者双因素认证。这事儿不能商量，谁嫌烦就让他签责任书，出了事自己扛。我们当时用脚本批量改了所有默认口令，改完再扫一遍，弱口令直接清零。

还有一个容易被忽略的角落——内网里的第三方软件。开发部为了图省事，经常下载一些来路不明的开源工具，里面藏着后门你根本不知道。我们上次排查发现，一台编译服务器上装的某个“破解版”压测工具，会定时往境外IP发心跳包。这玩意儿你打补丁没用，得直接卸载，然后从官方渠道重新装。建议在内网搭一个软件源，所有需要安装的软件统一从这里走，禁止私自下载安装。

最后说一句实在话：内网漏洞修补不是一次性工程，它是个持续对抗的过程。你补完了今天这批，下个月新漏洞出来还得再来一轮。别指望一劳永逸，把扫描和补丁机制做成常态化，每周自动跑一遍，比啥都强。老张那天晚上忙到凌晨四点，第二天照样得爬起来处理新告警。这就是内网安全的日常，枯燥，但保命。