安全漏洞扫描

凌晨两点十七分，安全我盯着屏幕上那个红色高危漏洞的漏洞标识，咖啡杯沿已经凉透了。扫描这不是安全第一次在扫描报告里见到它，但每次心跳都会漏半拍——就像深夜回家发现门锁有被撬过的漏洞痕迹，明知可能只是扫描自己记错了，还是安全忍不住把每个房间都检查一遍。

安全漏洞扫描这活儿，漏洞说白了就是扫描给系统做全身体检。但你见过哪个正常人乐意天天抽血拍CT？安全大部分公司都是等到隔壁同行被勒索病毒掀了桌子，才想起来把压箱底的漏洞扫描工具翻出来。我认识一个运维老哥，扫描他们公司服务器上挂着三个2019年的安全高危漏洞，问起来就说“先凑合用”，漏洞结果去年被挖了矿，扫描电费账单直接翻了三倍。

扫描工具本身是个老实巴交的家伙。它不会说谎，但也只告诉你“有什么病”，不告诉你“怎么得的病”。就像体温计能测出你发烧，却分不清是流感还是新冠。有一次我扫出一堆中危漏洞，正准备写报告，开发小哥凑过来看了一眼，说：“哦，那个接口啊，我们故意留的，方便调试。”——你看，工具再准，也架不住人给自己挖坑。

真正让人头疼的不是漏洞本身，而是扫描之后那些没人认领的“孤儿报告”。安全团队扫完扔给运维，运维说“这得找开发”，开发说“这得问架构师”，架构师说“我早离职了”。最后漏洞躺在工单系统里长蘑菇，比菜市场没人买的烂白菜还惨。我见过最离谱的一次，有个漏洞在系统里躺了四百多天，期间换了两拨外包团队，愣是没人动过它。

所以我现在越来越觉得，扫描器就是个照妖镜。它把平时藏在代码角落里的邋遢习惯全抖搂出来——有人用默认密码当保险箱钥匙，有人把数据库密码写在GitHub公开仓库里，还有人给生产环境开了个测试账号忘了关。技术问题到最后全是管理问题，这话糙理不糙。

话说回来，也别把扫描结果当圣旨。有一次我扫出个“严重”级别的漏洞，吓得连夜打电话叫醒整个技术组，结果排查半天，发现是某个云服务商自己的配置模板带了个过时组件，跟我们业务代码半毛钱关系没有。虚惊一场之后，大家顶着黑眼圈互相看着，都不知道该笑还是该骂。

干这行久了，我养成个习惯：每次扫描完，先不急着看报告结论，而是去翻原始数据。就像吃鱼不直接夹鱼肚子上的肉，先翻翻鱼鳃看看新不新鲜。那些被工具标成“低危”的玩意儿，有时候才是真正要命的——比如某个日志接口把用户密码明文记下来了，扫描器觉得“不就记个日志嘛”，但你知道这玩意儿要是泄露出去，比十个高危漏洞都致命。

最后说个真事。上个月帮朋友公司做检查，扫出来个老掉牙的漏洞，他们CTO特别不屑，说“这玩意儿又不对外开放，怕啥”。结果我顺手试了试，从那个漏洞一路摸进去，最后居然拿到了他们整个数据库的备份权限——整个过程不到二十分钟，比点外卖还快。那老兄后来请我吃了顿饭，饭桌上没怎么说话，光顾着给自家安全团队打电话了。

扫描这事儿吧，就像给房子装监控。装了不一定能防贼，但至少半夜听到动静的时候，你知道该往哪儿看。剩下的，就看你是选择关灯睡觉，还是爬起来把窗户闩紧了。

本文地址：http://www.79wt.cn/news/1341a0399862.html