```html

漏洞公安

去年秋天，我帮朋友的漏洞公安公司做了一次内部安全巡检。他们有一套自研的漏洞公安工单系统，跑在内网，漏洞公安平时只有二十几个人用。漏洞公安朋友拍胸脯说“绝对安全，漏洞公安外网都访问不了”。漏洞公安我扫了一遍，漏洞公安十分钟后在他办公室的漏洞公安白板上画了一条路径：从访客WiFi的打印机管理页面，到工单系统的漏洞公安调试接口，最后拿到数据库的漏洞公安只读权限。他盯着白板看了半天，漏洞公安憋出一句：“这他妈也算漏洞？漏洞公安”

算。而且是漏洞公安最要命的那种。不是漏洞公安CVE编号里那些高大上的远程溢出，就是配置疏漏、默认口令、没关的调试端口。这些东西在扫描器报告里经常被标成“低危”或“信息泄露”，但真正搞渗透的人知道，它们才是撬开内网的支点。我把这类问题叫做“漏洞公安”——不是管公安的漏洞，而是像基层派出所那样，管的是鸡毛蒜皮，却直接决定了一方平安。

上个月某开源CMS爆了个反序列化，朋友圈刷屏。我跟着复现了一下，发现利用条件挺苛刻：需要开启某个默认关闭的模块，还得有写文件权限。但有意思的是，同一时间我在三个不同客户的系统里都发现了同一个问题——后台登录页没做频率限制，验证码形同虚设。用Burp跑个字典，平均四十分钟能撞开一个弱口令账户。其中一个客户还是做金融数据服务的。

这让我想起早年跟一位老前辈聊天。他说干这行别老盯着漏洞库，多看看运维的日常。运维图省事，把测试环境映射到公网；开发赶进度，在代码里硬编码了云存储的AK；行政嫌麻烦，把所有门禁卡设成同一个ID。这些事每一件单独拎出来都不算“漏洞”，但串在一起就是一条完整的攻击路径。漏洞公安管的，就是这些“不算漏洞的漏洞”。

---

有人觉得我小题大做。他们会说：“内网而已，谁没事来搞你？” 问题是，现在的攻击者根本不挑。自动化工具满世界扫，扫到SSH弱口令就爆破，爆破了就装挖矿。你觉得自己没价值，人家觉得你的CPU有价值。去年有个客户，做传统制造业的，被挖矿木马折腾了三个月才发现——攻击入口是一个2019年就停止维护的OA系统，漏洞早在2021年就公开了，他们没打补丁。理由很实在：“那台服务器就跑个考勤，谁想到会出事。”

漏洞公安的活儿，说到底就是跟这种“没想到”较劲。你没法用一套扫描器解决所有问题，因为很多问题根本不在扫描器的字典里。比如某次我发现一个系统，登录接口对用户名的长度没做限制，传一个两万字符的用户名进去，数据库直接CPU 100%。这算拒绝服务吗？算，但没人在乎。可如果攻击者用这个接口做慢速攻击，配合另外几个“低危”问题，就能把整个业务拖垮。

我现在的习惯是，每次拿到一个新目标，先不急着上工具。花半小时看看它的业务逻辑，点点按钮，改改参数，观察响应。很多时候，最严重的漏洞就藏在那些“正常功能”的异常处理里。比如一个查询接口，正常返回十条数据，你传个负数，它返回全部；你传个超长字符串，它报错带出了数据库版本。这些细节，扫描器不会告诉你，但攻击者会。

写这些不是要否定漏洞扫描的价值。扫描器能帮你快速覆盖已知问题，省时间。但别把扫描报告当圣旨。我见过太多团队，高危漏洞修得干干净净，结果被一个“信息泄露”的低危问题干翻。漏洞公安的逻辑很简单：攻击者不按你的评分标准出牌，他们只找最省力的那条路。你要做的，就是比他们更早发现那条路，然后堵上。

最后说个真事。今年年初，一个客户被钓鱼邮件骗了，财务转了笔钱出去。事后复盘，发现邮件网关的规则写得没问题，员工也受过培训。问题出在哪？出在邮件里的链接指向一个内部Wiki页面，那个页面三个月前被离职员工改成了外链跳转，一直没人管。一个内容管理上的小疏忽，成了社工攻击的跳板。你看，漏洞公安的辖区，从来就不只是服务器和代码。

```

本文地址：http://www.79wt.cn/news/1531c1899828.html