内容摘要：华为防火墙的任意文件读取漏洞，不是那种需要复杂社会工程学或者物理接触才能触发的“理论风险”。它直接挂在Web管理界面上，一个构造好的URL请求，就能把设备里的/etc/passwd、配置文件、甚至VP

华为防火墙的防火任意文件读取漏洞，不是墙存那种需要复杂社会工程学或者物理接触才能触发的“理论风险”。它直接挂在Web管理界面上，任意一个构造好的文件URL请求，就能把设备里的漏洞/etc/passwd、配置文件、防火甚至VPN用户的墙存认证凭据给拉出来。这玩意儿在2023年被安全研究员外发披露时，任意业内不少人第一反应是文件“又来了”，但仔细看完技术细节，漏洞后背发凉——因为它影响的防火不仅仅是华为自家的USG系列，还包括大量集成在政企内网边界、墙存充当“安全大门”的任意同类设备。

具体怎么个读法？文件攻击者不需要登录，只要目标设备的漏洞HTTPS管理端口对公网或内网可达，就可以通过路径遍历的方式，在URL里塞上类似..%2f..%2fetc%2fpasswd的编码序列。华为的Web组件在处理静态文件请求时，没有严格过滤掉上级目录的跳转符号，导致服务器把本该拒之门外的文件内容原样吐了出来。更麻烦的是，某些版本里连读取/mnt/sdcard/下存放的日志备份都不费劲，那些日志里往往带着用户IP、访问时间、甚至明文或弱哈希的密码片段。

我拿手头的USG6300E做了个快速验证——当然是在隔离的测试环境里——构造请求后，返回包里确实能看到root:x:0:0:root:/root:/bin/sh这类系统账户信息。虽然现代Linux发行版早就把密码哈希挪进shadow文件了，但华为这套系统里，部分老固件仍把用户数据库放在一个相对路径下，配合目录穿越，读取变得异常顺滑。这感觉就像你家防盗门锁芯没问题，但门框边上的密封条被撬开了一条缝，伸手进去就能摸到玄关鞋柜上的备用钥匙。

官方在漏洞公告里给出的修复方案是升级到指定版本，同时建议关闭不必要的管理面暴露。可现实是，很多单位买回防火墙后，默认配置就是管理口绑定在0.0.0.0上，运维图省事，懒得改。更别说那些已经运行了五六年的老设备，业务不能断，升级要审批，测试周期长，漏洞就那样裸奔着。我认识的一个甲方安全工程师私下吐槽：“我们连防火墙的补丁都要走变更流程，等流程走完，黄花菜都凉了两轮。”

这个漏洞真正让人不安的地方，是它暴露了设备安全“灯下黑”的普遍状态。防火墙本该是网络边界上最硬的那块骨头，结果它自己先软了。攻击者拿到配置文件后，不仅能摸清内网拓扑、VPN隧道参数，还能伪造合法会话，直接绕过后续所有基于该设备的访问控制策略。换句话说，这不是“读取几个文件”的小事，而是把整条防线的前置情报拱手让人。

好在华为的反应速度不算慢，从披露到发布修复固件，大约用了三周。但漏洞的余波远未平息——只要还有设备没打补丁，或者管理员把管理口暴露在不可信网络里，这个口子就一直敞着。我建议所有还在用华为防火墙的单位，别光盯着官网公告，自己动手查一下当前固件版本，再确认下管理面的ACL规则。如果管理口确实需要对办公网开放，至少加个源IP白名单，别让任何内网PC都能摸到那个Web端口。

说到底，安全设备自己都不安全，那整个网络的安全基线就得重新掂量。别指望单靠一台盒子挡住所有攻击，该做的分段、隔离、最小暴露，一样都不能少。这漏洞算是给所有人提了个醒：再坚固的城墙，也怕内部有个没封死的排水口。