网站漏洞网警上面要求整改

上周三下午，网站网我正蹲在客户机房调防火墙策略，漏洞手机响了。上面网警那边打来的求整，语气很平：“你们那个体检预约系统，网站网有SQL注入，漏洞赶紧整改，上面明天之前给回复。求整”我愣了一下，网站网这系统去年才验收，漏洞当时扫过一遍没大毛病。上面挂了电话打开电脑，求整用sqlmap跑了一遍登录接口，网站网啪，漏洞数据库名直接弹出来了。上面那一刻后背有点发凉——不是怕被通报，是怕那些预约人的身份证号已经躺在某个黑产论坛里了。

很多人以为网站漏洞就是“技术问题”，找外包修修就行。真不是。网警下整改通知，依据的是《网络安全法》第二十一条和第五十九条。说白了，你系统里存着用户的手机号、住址、甚至病历，漏洞一旦被利用，就是实打实的公民个人信息泄露。去年浙江有个案子，一个县级医院的挂号系统被拖库，七万多条数据，最后院长被约谈，技术负责人直接行拘。这不是闹着玩的。

我见过最离谱的一个整改案例，是某地一个政务小程序。网警通知说存在越权访问漏洞，结果开发方回复“我们用的是HTTPS，很安全”。网警那边直接把漏洞利用过程录屏发过来了——改个URL里的user_id参数，就能看到别人的办件材料。开发方这才闭嘴。你看，问题往往不在技术多高深，而在做系统的人压根没想过“用户A能不能看到用户B的数据”。

整改通知一般会写明漏洞类型和整改期限。常见的有SQL注入、XSS跨站、文件上传、越权、弱口令。拿到通知别慌，先做三件事：第一，把系统从外网摘下来或者加个IP白名单，别让漏洞继续裸奔；第二，用Burp Suite或者AWVS复现一遍，确认漏洞位置和影响范围；第三，查日志，看有没有被利用过的痕迹。如果日志里已经有异常IP在批量请求，那就不是整改的问题了，得准备报网警做进一步取证。

修复本身有时候很快。SQL注入加个参数化查询，半小时的事。XSS做输出编码，一两个小时。但麻烦的是“整改报告”。网警要的不是你口头说“修好了”，要的是证据链：漏洞复现截图、修复后的测试截图、代码diff、甚至第三方扫描报告。我一般会建议客户把修复前后的请求响应都抓下来，做成PDF，附上时间戳。别嫌麻烦，这份报告交上去，才算闭环。

有个细节很多人忽略：整改完别急着关工单。网警可能会做复查，复查不通过会二次通报。二次通报的后果比第一次严重得多，可能面临罚款甚至停业整顿。我习惯在提交报告后，自己再用不同工具交叉扫一遍，确认没有遗漏。有一次扫出来一个存储型XSS，是修复SQL注入时新引入的——改代码改出来的。所以修复后回归测试必须做，别信开发说的“就改了一行”。

说回开头那个体检系统。漏洞出在一个老旧的查询接口，开发图省事直接拼SQL。我连夜改成预编译，又加了一层WAF规则。第二天交报告的时候，网警回了句“收到，后续注意”。就四个字，但我知道这事没完——因为那个接口三年前就有人提过要重构，一直没人管。漏洞是技术问题，但漏洞能留三年，是管理问题。网警的整改通知，其实是在替你踩刹车。

最后说句实在的。别等网警找上门才动。平时花几百块买个漏扫服务，每个月跑一次，比事后写整改报告便宜多了。数据这东西，丢了就是丢了，找不回来的。

本文地址：http://www.79wt.cn/news/1403d1699843.html