资产漏洞

老周在凌晨三点给我打电话的资产漏洞时候，我正梦见自己掉进一个全是资产漏洞数据库的深渊。他说服务器被人拖库了，资产漏洞用户密码明文存储，资产漏洞整整十二万条。资产漏洞电话那头传来打火机的资产漏洞声音，他戒烟三年了。资产漏洞

这不是资产漏洞我第一次处理这种烂摊子。去年有个做电商的资产漏洞朋友，花八千块买了个所谓"安全加固"服务，资产漏洞结果对方只是资产漏洞改了改防火墙规则。他们的资产漏洞后台登录页面至今还挂在公网上，管理员账号是资产漏洞admin，密码是资产漏洞admin123。我说你这不是资产漏洞资产漏洞，你这是把家门钥匙放在门口脚垫下面，还贴了张纸条写着"钥匙在这"。

资产漏洞这个词听起来挺技术，说白了就是你不知道自己家里到底放了什么值钱的东西，更不知道哪扇窗户没关严。我见过一家做智能硬件的创业公司，仓库里堆着三万台设备，每台都内置了默认密码。他们觉得反正用户会改，但大多数人根本不知道密码还能改。后来这些设备被黑客组成了僵尸网络，用来攻击一家医院的挂号系统。那家医院瘫痪了整整一个上午，有个老太太拄着拐杖在走廊里等了三个小时，最后也没挂上号。

这事儿让我想起自己家的路由器。买回来那天我设置了复杂密码，用了两年，直到有天看到新闻说某品牌路由器存在后门。我翻出说明书，找到固件升级页面，发现厂商早就停止维护了。那一刻我忽然意识到，所谓的"资产"不只是服务器和数据库，还有那些你以为安全但其实已经烂透了的日常设备。

更麻烦的是，漏洞往往不是技术问题，而是人的问题。上个月帮一个朋友的公司做排查，发现他们的核心业务系统居然跑在一台2010年买的台式机上。那台机器风扇嗡嗡作响，硬盘灯常亮，系统日志里全是报错。IT主管说预算不够，老板说能用就行。结果有天下午，硬盘真的挂了。备份倒是做了，但备份文件存在同一台机器的另一个分区里。数据全没了，三个月的订单记录，客户的联系方式，全没了。

我经常跟人说，别把安全当成一个需要花钱买的东西，它更像是一种生活习惯。就像你出门前会检查煤气关没关，锁门时会顺手拽一下门把手。做技术的人容易陷进漏洞扫描、渗透测试、防火墙策略这些高大上的词里，但真正的漏洞往往是最不起眼的地方——某个离职员工的账号没注销，某台测试服务器忘了下线，某个第三方接口的密钥直接写在代码注释里。

老周那天晚上最终还是点了根烟。他说那个拖库的黑客给他留了言，提醒他密码加密方式太弱，建议他换个好点的算法。你说这算不算一种黑色幽默？黑客都看不下去你的安全措施了。我告诉他，先别急着抓黑客，把该补的补上，然后去查查十二万条记录里有多少人是拿生日当密码的。他沉默了一会儿，说不用查，他自己就是。

本文地址：http://www.79wt.cn/news/1048b1599880.html