内容摘要：上周三凌晨两点，安全监测系统弹出一条告警：某后台管理路径的访问日志里，出现了连续27次异常登录尝试，IP归属地指向境外。值班同事起初以为是扫描器误报，手动复现后发现，攻击者已经利用一个未授权的文件上传

上周三凌晨两点，对网安全监测系统弹出一条告警：某后台管理路径的站安整改访问日志里，出现了连续27次异常登录尝试，全隐IP归属地指向境外。报告值班同事起初以为是对网扫描器误报，手动复现后发现，站安整改攻击者已经利用一个未授权的全隐文件上传接口，在服务器临时目录里留下了两个WebShell。报告这件事直接暴露了我们网站防护体系里最要命的对网问题——不是缺防火墙，而是站安整改权限校验逻辑写得太随意。

排查从那个上传接口开始。全隐代码里原本只允许管理员角色调用，报告但开发图省事，对网把角色判断写在了前端JavaScript里。站安整改攻击者抓包改个请求参数就能绕过。全隐更麻烦的是，上传后的文件存储路径没有做后缀白名单，`.php`文件直接能被解析。我们翻了近三个月的访问日志，发现至少有四个不同IP利用这个漏洞探测过服务器环境。其中一个IP甚至尝试读取`/etc/passwd`，幸好PHP进程运行在低权限用户下，没造成更深层的泄露。

修复动作分了三步走。第一，把角色校验从前端全部搬到后端中间件，每个敏感接口强制走一遍RBAC检查。第二，文件上传加了两层过滤：后缀白名单只允许jpg、png、pdf，同时用`finfo`函数检测真实MIME类型，防止改后缀绕过。第三，临时目录禁止执行任何脚本，在Nginx配置里加了一条`location ~* /tmp/.*\.php$ { deny all; }`。这三条改完，那个WebShell立刻失效了。

但真正让我头疼的不是技术修补，而是密码策略。数据库里翻出17个弱口令账号，其中三个是离职员工没删的测试号，密码居然是`admin123`。还有一个运维账号用了公司成立年份加`!`，社工库一撞就中。我们强制所有后台账号启用双因素认证，密码长度提到12位，并且禁止最近五次复用。有个老同事抱怨说记不住，我直接回他：你记不住总比被拖库强。

日志审计这块也做了调整。原来只记录登录成功和失败，现在把文件上传、数据库导出、配置修改这些高危操作全部记下来，并且实时推送到企业微信告警群。上周五凌晨又有人尝试爆破SSH，虽然没成功，但告警消息三秒内就到了我手机上。这种响应速度，比事后翻日志强太多。

还有个小细节值得说。我们用的某个开源CMS，官方三个月前就发了补丁，但运维觉得“网站没对外宣传，没人盯着”，一直没打。这次攻击者恰恰就是利用了这个已知漏洞。我后来在内部群里发了一句话：安全不是看你的门有多厚，而是看你有没有把窗户关严。现在所有第三方组件都加了版本监控，每周自动扫描一次CVE。

整改报告写完那天，我重新跑了一遍渗透测试。之前那个上传接口返回403，弱口令账号全部锁定，临时目录里的WebShell已经清除。但我知道，这只是一次修补。安全是个动态过程，今天堵住的洞，明天可能被新的绕过手法撬开。所以我把每周三下午定为“安全巡检时间”，不写文档，就纯手动翻日志、看告警、试接口。这比任何自动化工具都让人踏实。