太阳脸和月亮脸，安全这俩名字听着像童话角色，漏洞脸月亮脸其实是游戏两个真实存在的安全漏洞。一个在白天暴晒你的解说数据，一个在夜晚偷走你的太阳密码。它们不是安全同一种攻击，却共享同一个致命弱点——信任。漏洞脸月亮脸
太阳脸漏洞（CVE-2023-0669）出在GoAnywhere MFT上，游戏一款企业级文件传输软件。解说攻击者只需要发一个精心构造的太阳请求，就能绕过认证，安全直接拿到管理员权限。漏洞脸月亮脸整个过程不需要用户名，游戏不需要密码，解说就像你家大门锁坏了，太阳小偷连撬锁工具都不用带，推门就进。这个漏洞被Clop勒索团伙盯上，在2023年初横扫了130多家企业，包括日立、宝洁这些巨头。最讽刺的是，GoAnywhere的厂商Fortra在漏洞公开前就发了补丁，但太多企业没及时更新，结果成了勒索团伙的提款机。
月亮脸漏洞则是另一回事。它藏在SolarWinds的Serv-U FTP服务器里，编号CVE-2024-28995。这个漏洞利用的是路径遍历——攻击者发送特殊编码的URL，就能读取服务器上任意文件。我测试过，用浏览器直接访问`/files?path=C:\Windows\win.ini`，系统配置文件就这么赤裸裸地暴露了。更狠的是，这个漏洞不需要任何认证，连个访客账号都不用。有人用它读取了服务器的SAM文件（存着所有用户密码哈希），然后离线破解，整个内网就沦陷了。
两个漏洞的命名挺有意思。太阳脸在被曝光的白天被大量利用，攻击行为像阳光一样刺眼；月亮脸则在夜间活动，靠的是静默读取，像月光一样悄无声息。但本质都一样——它们都利用了软件对用户输入的过度信任。太阳脸没验证请求来源，月亮脸没过滤路径参数。这让我想起一个老笑话：程序员写代码时最常说的三句话是“这不可能发生”“这不应该发生”“这怎么会发生”。
我见过最典型的案例是一家物流公司。他们同时用了这两个产品，IT部门觉得“我们内网很安全”，结果太阳脸漏洞被用来打进内网，月亮脸漏洞被用来读取域控备份文件。整个过程没触发任何警报，因为攻击流量看起来就像正常的数据传输。直到勒索信出现在CEO邮箱里，他们才发现自己成了“双月同天”的受害者。
说真的，安全圈有个坏习惯——总爱给漏洞起花哨的名字，什么“心脏滴血”“永恒之蓝”，好像名字越酷，修复起来就越带劲。但太阳脸和月亮脸提醒我们，真正的威胁不是漏洞本身，而是那种“我们不会被盯上”的侥幸心理。补丁发布后48小时内，攻击者就会开始利用；一周后，漏洞利用代码就会公开；一个月后，连脚本小子都能用现成工具扫描全网。
所以别管它叫太阳还是月亮，只要你没更新，它就能让你在白天黑夜都睡不着觉。